Gør en VPN foran Tor det sværere at overvåge dig?

At tilføje endnu et krypteret afsnit til en rute fjerner ikke observatørerne; det flytter dem og tilføjer nogle gange en. Den nyttige øvelse er at tegne ruten og markere, hvem der ser hvad ved hvert skridt, fordi en VPN foran Tor og en VPN, der nås gennem Tor, giver modsatte svar på næsten hvert spørgsmål, der er værd at stille. Ingen af de to opstillinger besejrer et kompromitteret endepunkt, og ingen af dem retter en konto, der navngiver brugeren. At gå ruten igennem i rækkefølge og derefter spørge, hvad der går i stykker, når et lag forsvinder, gør et slogan til en beslutning.

Gå ruten igennem, og navngiv hver observatør

Start med det almindelige Tor-tilfælde, og markér hvert hop. Det lokale netværk og internetudbyderen ser en forbindelse til et Tor-indgangspunkt sammen med dens størrelse og timing. Indgangsvagten ser klientens adresse, og derfor er vagten et langvarigt forhold snarere end et tilfældigt valg. Udgangsknuden ser destinationen og klarteksten af alt, der ikke er ende-til-ende-krypteret, mens destinationen ser en udgangsadresse uden nogen klientadresse knyttet til sig.

Skriv de mærkater ned, før du tilføjer noget. Diagrammet er argumentet, og det er let at kontrollere.

To rækkefølger giver forskellige observationer

En VPN placeret foran Tor betyder, at trafikken forlader enheden mod VPN-udbyderen, forlader den udbyder og først derefter når en Tor-indgang. Det lokale netværk ser slet ikke Tor mere, og det er hele pointen, når et netværk blokerer eller overvåger det. Indgangsvagten ser nu VPN'ens adresse i stedet for brugerens, og VPN-udbyderen ser, at en bestemt kunde forbinder til Tor med et bestemt tidsmønster. Den udbyder bliver en ny part med en værdifuld observation, og dens logningspolitik er nu en del af trusselsmodellen i stedet for at stå uden for den.

At nå en VPN gennem Tor vender rækkefølgen og vender også eksponeringen om: destinationen ser VPN'ens adresse, Tor-udgangen ser ikke længere destinationen, og VPN-udbyderen ser Tor-trafik ankomme i stedet for en kundes hjemadresse. Det belaster også forbindelsen med to lag latency og kræver klientunderstøttelse, som mange kommercielle programmer ikke tilbyder.

At vælge mellem dem er et spørgsmål om, hvilken observatør der betyder mest, ikke om hvilken der lyder mere sikker. En bruger, der skjuler Tor-brug for et lokalt netværk, vil have den første rækkefølge; en bruger, der prøver at forhindre en destination i at lære noget, der kan tilskrives dem, har brug for en anden analyse, og ingen af rækkefølgerne skjuler et kontonavn.

Hvad der stadig identificerer sessionen

Observatører på adresseniveau er kun en del af billedet og ofte ikke den afgørende del. En konto, der er logget ind, binder aktiviteten til en identitet, uanset hvilken udgangsadresse der bar pakken, og en betalingsregistrering, som tjenesten kan knytte til en person, gør det samme. Browserens tilstand bidrager også: en vedvarende cookie, et gemt login eller en identificerende udvidelse kan følge en bruger gennem kredsløb, der var designet til at være ulinkbare.

Indhold, der sendes til et websted, er det tredje signal. Et dokument med metadata, et navn skrevet i en formular eller en unik skrivestil overlever et vilkårligt antal krypteringslag, og ingen af værktøjerne foran dem er designet til at røre ved det. At føre en ærlig liste over disse identifikatorer beskytter mere end at tilføje endnu et hop.

Planlæg et lag, der forsvinder

Fejlhåndtering er der, hvor opstillingerne virkelig adskiller sig, og det er en konfigurationsegenskab snarere end en funktion i et af værktøjerne. Hvis VPN'en falder, mens Tor er konfigureret til at køre gennem den, stopper Tor så, eller genopretter den stille forbindelsen ad den almindelige vej? Det andet udfald er ikke en lækage til destinationen, men det afslører over for det lokale netværk, at Tor bruges, hvilket måske er præcis det, opstillingen skulle forhindre.

En kill switch på enhedsniveau kan håndhæve en del af svaret ved at afvise trafik uden for tunnelen, og den dækker kun trafik, som enheden router. Et program, der er udelukket fra tunnelen, omgår den beskyttelse, og en resolver, der bruges under opsætningen af forbindelsen, kan afsløre navne, selv når nyttelasten bliver inde i tunnelen. Læs undtagelserne og resolverens konfiguration i stedet for at antage, at switchen dækker alt.

Lad browserpakken være i fred

Tor Browsers beskyttelser afhænger af, at hele pakken opfører sig som designet: dens egen proxykonfiguration, isoleringen mellem websteder og dens fingeravtryksforsvar. At pege en almindelig browser mod en lokal Tor-port eller tilføje en proxyudvidelse til Tor Browser ændrer antagelser, som designet hviler på. Tor Projects egen vejledning om at kombinere en VPN med Tor behandler kombinationen som en avanceret konfiguration, og den forsigtighed handler om disse interaktioner snarere end om VPN-leverandøren.

Før du kombinerer værktøjer, skal du kunne angive den normale vej, fejlvejen og hver operatørs rolle i enkle sætninger. Hvis den eneste begrundelse er, at to lag lyder mere sikre, er der ikke noget krav at designe imod, og den tilføjede fejltilstand er det vigtigste, der blev tilføjet.