Zwei VPNs sind nicht Tor: Was Verschachtelung leistet und was nicht
Tunnel zu verschachteln fügt Betreiber und Fehlerarten hinzu, lässt aber die Browser-Identität bestehen. Tor verbindet Relay-Routing mit einem gehärteten Browser; die Entwürfe unterscheiden sich.
Zwei VPN-Clients gleichzeitig laufen zu lassen wirkt wie Privatsphäre durch Addition, und das ist es nicht. Eine Kette gibt Ihnen einen Tunnel in einem anderen Tunnel mit einem festen Betreiberpaar, während Tor einen Rundweg über vom Protokoll gewählte Relays aufbaut und ihn mit einem Browser paart, der um diesen Rundweg herum entworfen ist. Der Unterschied zeigt sich darin, wer was korrelieren kann, und darin, wie viel Ihrer Identität der Browser noch freiwillig preisgibt. Gehen Sie von diesen Eigenschaften aus, nicht von der Zahl der Schichten.
Verschachtelung fügt einen Sprung hinzu, keinen Rundweg
Ein verschachtelter Aufbau wird einmal konfiguriert: Der innere Client erreicht seinen Server durch den äußeren Tunnel, und dieser Server leitet den endgültigen Verkehr weiter. Der Pfad ist so lang, wie Sie ihn gebaut haben, und bleibt bestehen, bis Sie das Profil ändern. Tor wählt Relays pro Rundweg, rotiert sie nach eigenem Zeitplan und hängt nicht davon ab, dass der Nutzer eine Route wählt.
Diese feste Struktur ist nicht für jeden Zweck automatisch schlechter. Ein vorhersagbarer Pfad lässt sich leichter prüfen und in Betrieb halten. Es ist einfach ein anderer Mechanismus, und ihn »Tor mit zwei Sprüngen« zu nennen beschreibt weder die Zahl der Parteien noch die Art ihrer Auswahl.
| Property | VPN chain | Tor |
|---|---|---|
| Path | Fixed by your configuration | Circuits selected by the protocol |
| Operators | The two providers you chose | Relays run by independent parties |
| Trust split | Outer sees the inner endpoint, inner sees destinations | No single relay sees both ends |
| Browser | Your normal browser and its state | Hardened browser with its own defaults |
| Failure mode | Either tunnel down breaks the chain | Circuit rebuilds over other relays |
Das Vertrauensproblem verschiebt sich, es verschwindet nicht
Bei zwei Anbietern sieht der äußere, dass Sie sich mit dem inneren verbinden und wie viel Verkehr fließt, und der innere sieht die Ziele. Keiner sieht allein das ganze Bild, und das ist real. Beide führen jedoch Aufzeichnungen, und eine Anfrage des einen an den anderen kann sie zusammenführen.
Gehören beide Stufen derselben Firma, erzeugen zwei Servernamen keine zwei unabhängigen Organisationen, und die Aufteilung ist kosmetisch. Prüfen Sie die Eigentumsverhältnisse, bevor Sie Betreiber als getrennte Parteien zählen.
Tors Garantie stammt ebenso aus der Form des Rundwegs wie aus der Zahl der Relays. Drei unabhängig betriebene Relays durch zwei Konten zu ersetzen, die Sie bezahlen, ist keine gleichwertige Anordnung, auch wenn die Paketzahl ähnlich aussieht.
Der Browser identifiziert Sie weiterhin
Cookies, Anmeldungen, Schriften, Bildschirmgröße, Zeitzone und die Reihenfolge, in der Skripte laufen, sind für das Ziel durch beliebig viele Tunnel sichtbar. Tor Browser arbeitet bewusst an diesen Signalen, mit Fingerprinting-Schutz und Zustandsisolierung als Voreinstellung. Ein normaler Browser behält sein gewohntes Verhalten, ganz gleich, was seine Pakete befördert.
Das ist der Teil, den Verschachtelung nicht beheben kann. Wenn die Sorge ist, dass eine Website Sie über Besuche hinweg erkennt, zählt der Browser mehr als der Pfad. Wenn die Sorge ist, dass Ihr Zugangsnetz das Ziel sieht, zählt der Pfad mehr. Beide Fragen zu vermischen erzeugt Ratschläge, die keine von ihnen löst.
Was bricht, wenn beide Clients laufen
VPN-Schnittstellen des Betriebssystems erlauben oft nur einen aktiven Tunnel gleichzeitig, und ein zweiter Client kann den ersten verdrängen, statt sich in ihn einzunisten. Konkurrierende Standardrouten, DNS-Einstellungen und Kill-Switches erzeugen dann ein Gerät, auf dem ein Tunnel ungenutzt oder beide blockiert sind, was der Nutzer als »das VPN ist an, aber nichts lädt« erlebt.
Prüfen Sie die beabsichtigte Verschachtelung, statt zwei Symbolen zu vertrauen: Kontrollieren Sie die Route zu einem geschützten Ziel, den verwendeten DNS-Resolver und das Verhalten, wenn eine der Schichten ausfällt. Deaktivieren Sie niemals die Zertifikatsprüfung, damit eine Routenrekursion verschwindet.
Wählen Sie die zusätzliche Schicht für eine klar benannte Anforderung, etwa das Ziel vor dem Zugangsnetz zu verbergen. Verschlüsselte Verbindungen zu zählen ist kein Maß für Anonymität, und es ändert nicht, was die Website sieht, wenn Sie sich anmelden.