Nødafbryder kontra Tor Browser-isolation: to forskellige tests

Nødafbrydere og browserens identitetsmodeller bliver forvekslet, fordi begge beskrives som privatlivsfunktioner. Den ene blokerer trafik på netværkslaget, og den anden begrænser, hvad en browsertilstand kan kæde sammen. At bestå en test af den første siger intet om den anden, og en side, der indlæses i Tor Browser, siger intet om den første. Beslutningen er, hvilken kontrol der besvarer hvilket spørgsmål, fordi dette valg afgør, hvilke beviser der tæller.

To kontroller ved to grænser

En nødafbryder er en regel om ruter: når tunnelen ikke er oppe, slippes trafik, der ellers ville tage en anden vej, ikke igennem. Dens omfang er det, implementeringen dækker, hvilket kan være hele systemet, én applikation eller kun de adressefamilier, klienten styrer. Browserisolation handler om, hvad et websted kan observere om en besøgende gennem en session: cookies, cachet tilstand, fingeraftryk, logins. Ingen af mekanismerne kan erstatte den anden, fordi de virker på helt forskellige objekter.

Derfor kan en maskine bestå en perfekt nødafbrydertest og stadig lække identitet gennem et login. Det modsatte sker lige så ofte: en godt isoleret browser på en vært, hvis telemetri tager en vej, som politikken aldrig dækkede.

At lægge begge under én etiket skaber dårlige beviser, fordi et bestået resultat på den ene side så står i stedet for parret. Hold dem i separate kolonner fra starten. Kolonneoverskriften fortæller dig også, hvilket artefakt testen skylder dig: en blokeret pakke eller en sessionsregistrering.

Afbrydelseskørslen besvarer et snævrere spørgsmål

En kontrolleret afbrydelse viser, om klienten blokerer den trafik, du testede, på den platform, du testede, så længe testen varede. Medtag de adressefamilier, applikationer og netværksskift, som kravet nævner, fordi hvert enkelt er en særskilt påstand. En blokering, der gælder for IPv4 og ikke for IPv6, er et reelt fund, og det samme er en blokering, der gælder på et kabelnetværk, men ikke ved et mobilt skift. Skriv omfanget ved siden af resultatet, fordi et ubetinget bestået resultat er, hvordan en snæver test bliver en bred antagelse.

Den negative kontrol betyder lige så meget som den positive. Bekræft, at den samme anmodning lykkes, mens tunnelen er oppe, så det står klart, at blokeringen kom fra politikken og ikke fra en destination, der aldrig virkede. En test, der fejlede i begge tilstande, beviser intet, og det er værd at sige det i registreringen i stedet for stille at kassere den.

Isolation er en browseregenskab, ikke en rute

Tor Browsers erklærede design begrænser sammenkædelighed ved at holde kredsløbs- og browsertilstand sammen og ved at rydde tilstand efter anmodning, og projektet dokumenterer, hvad det betyder i praksis for håndtering af identiteter. Det design forudsætter den understøttede konfiguration, ikke en generisk browser peget mod en proxyport. Udvidelser tilføjet for bekvemmelighed kan ophæve en del af isolationen, og et opfanget login kæder alt efterfølgende sammen uanset kredsløbet. Den dokumenterede adfærd er kort nok til at læse direkte.

Browserobservationer og netværksobservationer besvarer forskellige spørgsmål, så hold dem i separate noter. En side, der indlæses via Tor, mens VPN’en er oppe, fortæller dig, at proxyen virker, og intet om VPN’ens dropadfærd. En blokeret pakke under en afbrydelse siger intet om, hvorvidt to logins var sammenkædelige en time tidligere.

To registreringer, to spørgsmål

For nødafbryderen skal du spørge, om en navngivet applikation kan forlade systemet ad en uønsket rute under en fejl, og medbringe en kontrolleret afbrydelse med en logdestination, du ejer. For browserisolation skal du spørge, hvilke konti, tilstand og signaler der kunne kæde to aktiviteter sammen, og medbringe et arbejdsforløb i stedet for en pakkeopsamling. Hvis en anden applikation betyder noget, skal du teste den applikation separat, fordi omfanget er pr. applikation oftere, end leverandører antyder. To forskellige spørgsmål giver to forskellige artefakter og én ærlig rapport.

Tegn begge veje før test: den normale rute og ruten efter en tunnelfejl, for hver applikation i omfanget. En tegning afslører det hul, som en enkelt grøn indikator skjuler, fordi den tvinger dig til at navngive, hvad der er dækket, og hvad der ikke er. Gør det, mens systemerne er sunde, når ingen er under pres for at erklære kontrollen afsluttet.

Ingen af kontrollerne certificerer den anden, og en kombineret opsætning har brug for begge registreringer, før den kan hævde begge egenskaber. At hævde begge ud fra en enkelt grøn indikator er præcis den fejl, som dette par skal forhindre.