Macht ein VPN vor Tor Sie schwerer zu überwachen?

Eine weitere verschlüsselte Strecke in einen Pfad einzufügen entfernt keine Beobachter; es verlagert sie und fügt manchmal einen hinzu. Die nützliche Übung besteht darin, die Route zu zeichnen und zu beschriften, wer bei jedem Schritt was sieht, denn ein VPN vor Tor und ein VPN, das über Tor erreicht wird, liefern entgegengesetzte Antworten auf fast jede Frage, die sich zu stellen lohnt. Keine der beiden Anordnungen besiegt einen kompromittierten Endpunkt, und keine repariert ein Konto, das den Nutzer benennt. Den Pfad der Reihe nach zu gehen und dann zu fragen, was bricht, wenn eine Schicht verschwindet, verwandelt einen Slogan in eine Entscheidung.

Gehen Sie den Pfad ab und benennen Sie jeden Beobachter

Beginnen Sie mit dem einfachen Tor-Fall und beschriften Sie jeden Sprung. Das lokale Netzwerk und der Internetanbieter sehen eine Verbindung zu einem Tor-Einstiegspunkt samt Größe und Zeitverlauf. Der Einstiegswächter sieht die Adresse des Clients, weshalb der Wächter eine langfristige Beziehung und keine zufällige Wahl ist. Der Ausgangsknoten sieht das Ziel und den Klartext alles dessen, was nicht Ende-zu-Ende verschlüsselt ist, während das Ziel eine Ausgangsadresse sieht, an der keine Clientadresse hängt.

Schreiben Sie diese Beschriftungen auf, bevor Sie etwas hinzufügen. Das Diagramm ist das Argument, und es ist leicht zu prüfen.

Zwei Reihenfolgen erzeugen unterschiedliche Beobachtungen

Ein VPN vor Tor bedeutet, dass der Datenverkehr das Gerät in Richtung des VPN-Anbieters verlässt, diesen Anbieter verlässt und erst dann einen Tor-Einstieg erreicht. Das lokale Netzwerk sieht Tor überhaupt nicht mehr, und genau das ist der Punkt, wenn ein Netzwerk es blockiert oder überwacht. Der Einstiegswächter sieht nun die Adresse des VPN statt der des Nutzers, und der VPN-Anbieter sieht, dass ein bestimmter Kunde sich mit einem bestimmten Zeitmuster mit Tor verbindet. Dieser Anbieter wird zu einer neuen Partei mit einer wertvollen Beobachtung, und seine Protokollierungsrichtlinie gehört nun zum Bedrohungsmodell statt außerhalb davon.

Ein VPN über Tor zu erreichen kehrt die Reihenfolge und kehrt auch die Offenlegung um: Das Ziel sieht die Adresse des VPN, der Tor-Ausgang sieht das Ziel nicht mehr, und der VPN-Anbieter sieht ankommenden Tor-Verkehr statt der Wohnadresse eines Kunden. Es belastet die Verbindung außerdem mit zwei Lagen Latenz und verlangt Client-Unterstützung, die viele kommerzielle Anwendungen nicht bieten.

Die Wahl zwischen ihnen ist eine Frage, welcher Beobachter am wichtigsten ist, nicht welche sicherer klingt. Ein Nutzer, der die Tor-Nutzung vor einem lokalen Netzwerk verbirgt, will die erste Reihenfolge; ein Nutzer, der verhindern will, dass ein Ziel etwas ihm Zurechenbares erfährt, braucht eine andere Analyse, und keine der Reihenfolgen verbirgt einen Kontonamen.

Was die Sitzung noch identifiziert

Beobachter auf Adressebene sind nur ein Teil des Bildes und oft nicht der entscheidende. Ein angemeldetes Konto bindet die Aktivität an eine Identität, unabhängig davon, welche Ausgangsadresse das Paket trug, und ein Zahlungsdatensatz, den der Dienst einer Person zuordnen kann, tut dasselbe. Auch der Browserzustand trägt bei: ein dauerhaftes Cookie, eine gespeicherte Anmeldung oder eine identifizierende Erweiterung können einen Nutzer über Verbindungen hinweg begleiten, die als nicht verknüpfbar konzipiert wurden.

Inhalte, die an eine Website übermittelt werden, sind das dritte Signal. Ein Dokument mit Metadaten, ein in ein Formular getippter Name oder ein einzigartiger Schreibstil überstehen beliebig viele Verschlüsselungsschichten, und keines der Werkzeuge davor ist dafür gebaut, das zu berühren. Eine ehrliche Liste dieser Identifikatoren zu führen schützt mehr, als einen weiteren Sprung hinzuzufügen.

Planen Sie eine Schicht ein, die verschwindet

Das Fehlerverhalten ist der Punkt, an dem sich die Anordnungen wirklich unterscheiden, und es ist eine Konfigurationseigenschaft und kein Merkmal eines der beiden Werkzeuge. Wenn das VPN ausfällt, während Tor so konfiguriert ist, dass es darüber läuft, stoppt Tor dann, oder verbindet es sich still über den normalen Pfad neu? Das zweite Ergebnis ist kein Ziel-Leak, aber es offenbart dem lokalen Netzwerk, dass Tor verwendet wird, was vielleicht genau das ist, was die Anordnung verhindern sollte.

Ein Kill-Switch auf Geräteebene kann einen Teil der Antwort durchsetzen, indem er Verkehr außerhalb des Tunnels verweigert, und er deckt nur Verkehr ab, den das Gerät weiterleitet. Eine vom Tunnel ausgenommene Anwendung umgeht diesen Schutz, und ein Resolver, der beim Verbindungsaufbau verwendet wird, kann Namen offenlegen, selbst wenn die Nutzlast im Tunnel bleibt. Lesen Sie die Ausnahmen und die Resolver-Konfiguration, statt anzunehmen, der Schalter decke alles ab.

Lassen Sie das Browser-Paket in Ruhe

Die Schutzmaßnahmen des Tor Browser hängen davon ab, dass sich das gesamte Paket wie vorgesehen verhält: seine eigene Proxy-Konfiguration, die Isolation zwischen Websites und seine Fingerprinting-Abwehr. Einen gewöhnlichen Browser auf einen lokalen Tor-Port zu richten oder dem Tor Browser eine Proxy-Erweiterung hinzuzufügen ändert Annahmen, auf denen das Design beruht. Die eigene Anleitung des Tor Project zum Kombinieren eines VPN mit Tor behandelt die Kombination als fortgeschrittene Konfiguration, und diese Vorsicht betrifft genau diese Wechselwirkungen und nicht den VPN-Anbieter.

Bevor Sie Werkzeuge kombinieren, sollten Sie den normalen Pfad, den Fehlerpfad und die Rolle jedes Betreibers in einfachen Sätzen darlegen können. Wenn die einzige Begründung ist, dass zwei Schichten sicherer klingen, gibt es keine Anforderung, gegen die man entwerfen könnte, und der hinzugefügte Fehlermodus ist das Wesentliche, was hinzugefügt wurde.