Kill-Switch gegen Tor-Browser-Isolation: zwei verschiedene Tests

Kill-Switches und Identitätsmodelle von Browsern werden verwechselt, weil beides als Datenschutzfunktion beschrieben wird. Das eine blockiert Verkehr auf der Netzwerkschicht, das andere begrenzt, was eine Browsersitzung miteinander verknüpfen kann. Einen Test des ersten zu bestehen sagt nichts über das zweite aus, und eine Seite, die in Tor Browser lädt, sagt nichts über das erste aus. Die Entscheidung ist, welche Kontrolle welche Frage beantwortet, denn diese Wahl bestimmt, welche Belege zählen.

Zwei Kontrollen an zwei Grenzen

Ein Kill-Switch ist eine Regel über Routen: Steht der Tunnel nicht, wird Verkehr verworfen, der sonst einen anderen Weg nehmen würde. Sein Umfang ist das, was die Implementierung abdeckt – das ganze System, eine Anwendung oder nur die Adressfamilien, die der Client verwaltet. Browser-Isolation betrifft, was eine Website über einen Besucher über eine Sitzung hinweg beobachten kann: Cookies, zwischengespeicherter Zustand, Fingerabdrücke, Anmeldungen. Keiner der beiden Mechanismen kann den anderen ersetzen, weil sie auf völlig verschiedene Objekte wirken.

Darum kann eine Maschine einen perfekten Kill-Switch-Test bestehen und trotzdem Identität über eine Anmeldung preisgeben. Der umgekehrte Fall tritt genauso oft auf: ein gut isolierter Browser auf einem Host, dessen Telemetrie einen Weg nimmt, den die Richtlinie nie abgedeckt hat.

Beides unter einem Etikett zu führen erzeugt schlechte Belege, weil ein Bestehen auf einer Seite dann für das Paar einsteht. Halten Sie sie von Anfang an in getrennten Spalten. Die Spaltenüberschrift sagt Ihnen auch, welches Artefakt der Test Ihnen schuldet: ein blockiertes Paket oder einen Sitzungsdatensatz.

Der Ausfalltest beantwortet eine engere Frage

Ein kontrollierter Ausfall zeigt, ob der Client den getesteten Verkehr auf der getesteten Plattform blockiert, solange der Test lief. Nehmen Sie die Adressfamilien, Anwendungen und Netzwerkwechsel auf, die die Anforderung nennt, denn jeder einzelne ist eine eigene Aussage. Eine Blockade, die für IPv4 gilt und nicht für IPv6, ist ein echter Befund, und ebenso eine Blockade, die in einem kabelgebundenen Netz gilt, aber nicht bei einem mobilen Wechsel. Schreiben Sie den Umfang neben das Ergebnis, denn ein uneingeschränktes Bestehen ist der Weg, auf dem ein enger Test zu einer breiten Annahme wird.

Die Negativkontrolle zählt genauso viel wie die Positivkontrolle. Bestätigen Sie, dass dieselbe Anfrage bei aktivem Tunnel gelingt, damit klar ist, dass die Blockade von der Richtlinie kam und nicht von einem Ziel, das nie funktionierte. Ein Test, der in beiden Zuständen scheiterte, beweist gar nichts, und das sollte im Datensatz stehen, statt ihn stillschweigend zu verwerfen.

Isolation ist eine Browsereigenschaft, keine Route

Das erklärte Design von Tor Browser begrenzt Verknüpfbarkeit, indem es Schaltkreis- und Browserzustand zusammenhält und den Zustand auf Anforderung löscht, und das Projekt dokumentiert, was das in der Praxis für die Verwaltung von Identitäten bedeutet. Dieses Design setzt die unterstützte Konfiguration voraus, nicht einen generischen Browser, der auf einen Proxy-Port zeigt. Erweiterungen, die aus Bequemlichkeit hinzugefügt werden, können einen Teil der Isolation rückgängig machen, und eine erfasste Anmeldung verknüpft alles Folgende unabhängig vom Schaltkreis. Das dokumentierte Verhalten ist kurz genug, um es direkt zu lesen.

Browser-Beobachtungen und Netzwerk-Beobachtungen beantworten verschiedene Fragen, halten Sie sie also in getrennten Notizen. Eine Seite, die über Tor lädt, während das VPN steht, sagt Ihnen, dass der Proxy funktioniert, und nichts über das Verwerfungsverhalten des VPN. Ein blockiertes Paket während eines Ausfalls sagt nichts darüber, ob zwei Anmeldungen eine Stunde zuvor verknüpfbar waren.

Zwei Datensätze, zwei Fragen

Für den Kill-Switch fragen Sie, ob eine benannte Anwendung während eines Fehlers über eine unerwünschte Route verlassen kann, und bringen Sie einen kontrollierten Ausfall mit einem Protokollziel mit, das Ihnen gehört. Für die Browser-Isolation fragen Sie, welche Konten, Zustände und Signale zwei Aktivitäten verknüpfen könnten, und bringen Sie einen Arbeitsablauf statt eines Paketmitschnitts mit. Wenn eine zweite Anwendung zählt, testen Sie diese Anwendung separat, denn der Umfang ist häufiger pro Anwendung, als Anbieter andeuten. Zwei verschiedene Fragen ergeben zwei verschiedene Artefakte und einen ehrlichen Bericht.

Zeichnen Sie beide Wege vor dem Test: die normale Route und die Route nach einem Tunnelausfall, für jede Anwendung im Umfang. Eine Zeichnung legt die Lücke offen, die ein einzelner grüner Indikator verbirgt, weil sie Sie zwingt zu benennen, was abgedeckt ist und was nicht. Tun Sie das, solange die Systeme gesund sind, wenn niemand unter Druck steht, die Prüfung für abgeschlossen zu erklären.

Keine der beiden Kontrollen bescheinigt die andere, und ein kombiniertes Setup braucht beide Datensätze, bevor es beide Eigenschaften beanspruchen kann. Beides aus einem einzigen grünen Indikator zu beanspruchen ist genau der Fehler, den dieses Paar verhindern soll.