Login over Tor fortæller siden, hvem du er, ikke hvor

Udgangsadressen ændrer sig, kontonavnet gør ikke, og siden har i årevis opbygget en profil af den konto. Login over Tor fjerner ét signal, din sædvanlige netværksplacering, og lader resten af billedet være intakt. Det er stadig noget værd, og det er ikke anonymitet over for den tjeneste, du netop har godkendt dig over for. Forskellen er let at sige og let at glemme under pres.

Hvad selve login afslører

Et vellykket login er en bevidst erklæring om, at denne session tilhører den konto. Fra tjenestens side kan alt derefter tilskrives kontoen, herunder de sider, der besøges, de beskeder, der sendes, og de tidspunkter på dagen, hvor kontoen optræder.

Tor ændrer, hvad destinationen kan observere om din netværksrute: i stedet for din adresse ser den et udgangsrelæ. Det ændrer ikke, hvad du fortalte siden ved at godkende dig, og det gør ikke to logins fra samme konto uafhængige.

Links inde i kontoen fungerer på samme måde. En genopretningsadresse, et telefonnummer, en gemt betalingsmetode eller et kaldenavn, der genbruges andre steder, knytter sig alle til den identitet, du loggede ind med, uanset hvilken rute pakkerne tog.

Et nyt kredsløb er ikke en ny konto

Tor Browser tilbyder to forskellige handlinger, som folk behandler som én. Et nyt kredsløb til siden ændrer den relærute, der bruges til den destination, og lader browserens private tilstand være. Ny identitet er bredere: den rydder browsertilstanden, lukker aktivitet og starter forfra, hvilket er en anden handling med andre konsekvenser.

Ingen af handlingerne beder den anden side om at glemme noget. Allerede udstedte cookies, en sessionstoken som siden holder, eller et enhedsfingeraftryk indsamlet ved login beskriver stadig den samme besøgende, efter ruten ændres.

En frisk udgangsadresse læses altså ikke som en ny person af en tjeneste, der kender kontoen. Den læses som den samme konto, der ankommer fra et andet sted, og det er præcis det mønster, svindelsystemer er bygget til at bemærke. Det mønster er ikke en fejl på siden. Det er siden, der gør det arbejde, du bad den om ved at logge ind, og de eneste overraskelser kommer fra at forvente det modsatte.

Hvad udgangen stadig ser

Udgangsrelæet bærer din trafik i klartekst, medmindre destinationen bruger HTTPS, og derfor betyder browserens certifikatkontroller mere på denne rute, ikke mindre. En ondsindet udgang er en realistisk modstander for ukrypteret trafik, og en login-side er det værste sted at møde en.

HTTPS beskytter indholdet mod udgangen og gør intet ved den konto, du valgte at godkende dig med. De to beskyttelser dækker forskellige observatører, og ingen af dem erstatter den anden.

Forvent kontoens kontroller

Tjenester reagerer rutinemæssigt på en Tor-udgang med ekstra verifikation: en captcha, en e-mailbekræftelse eller en midlertidig tilbageholdelse. Det er en normal reaktion på et delt og tidligere misbrugt kildeområde, ikke bevis for, at sessionen blev kompromitteret.

Det nyttige svar er at gennemføre den understøttede kontrol én gang. At skifte kredsløb gentagne gange, indtil en opfordring forsvinder, lærer dig intet om kontoen og kan se værre ud end den oprindelige opfordring. Det spilder også det eneste, du beskyttede.

Hvis en kontrol ikke kan gennemføres, er det information om tjenestens politik, og den beslutning, du skal træffe, er, om kontoen er værd at nå uden tunnelen. Begge muligheder er legitime; at foregive, at forhindringen er en fejl, er ikke.

Beslut, hvilket mål du faktisk har

Der er to mål, som folk blander sammen: at beskytte ruten til en kendt identitet og at forhindre, at adskilte aktiviteter bliver koblet sammen. Tor tjener det første godt. Det andet kræver, at du slet ikke logger ind, eller kun logger ind med en identitet, der er skabt til det formål og aldrig blandet med den første.

Navngiv målet, før du vælger værktøjet. Hvis kontoen skal bruges, er den ærlige beskrivelse af opsætningen en privat rute til en kendt konto, og privatlivspåstanden bør begrænses til det, den faktisk beskytter.