Κόμβος εξόδου Tor έναντι διακομιστή εξόδου VPN: τι γνωρίζει ο καθένας
Ένας κόμβος εξόδου Tor και ένας διακομιστής εξόδου VPN δείχνουν και οι δύο μία δημόσια διεύθυνση, αλλά μοιράζουν τη γνώση διαφορετικά. Συγκρίνετε ορατότητα, κάλυψη και πολιτική θυρών.
Και τα δύο σχέδια κρύβουν τη διεύθυνσή σας πίσω από μία δημόσια IP, και ένας ιστότοπος που εκτυπώνει τη διεύθυνση που βλέπει δεν μπορεί να τα ξεχωρίσει. Η διαφορά είναι ποιος μαθαίνει τι στην πορεία, πόση κίνηση καλύπτεται και ποιες θύρες επιτρέπεται να λειτουργούν. Ένας κόμβος εξόδου Tor είναι το τελευταίο άλμα ενός κυκλώματος τριών κόμβων· ένας διακομιστής εξόδου VPN τερματίζει τη σήραγγά σας και κάνει ο ίδιος την εξερχόμενη σύνδεση. Ακολουθεί πώς αποφασίζω ποιο χρειάζεται μια εργασία και τι ελέγχω πριν υποθέσω ότι το ένα συμπεριφέρεται σαν το άλλο.
Δύο διαδρομές που καταλήγουν σε μία διεύθυνση
Το Tor χτίζει ένα κύκλωμα μέσα από έναν φύλακα, έναν μεσαίο κόμβο και μία έξοδο, και κρυπτογραφεί το φορτίο σε επίπεδα ώστε κάθε κόμβος να ξεφλουδίζει μόνο το δικό του. Η έξοδος κάνει τη συνηθισμένη σύνδεση TCP με τον προορισμό, γι' αυτό ο προορισμός βλέπει τη διεύθυνση εξόδου. Ο πελάτης σας δεν μιλά ποτέ απευθείας με τον προορισμό, και ούτε ο φύλακας τον βλέπει.
Ένα VPN είναι μία σήραγγα προς ένα τελικό σημείο. Ο διακομιστής του παρόχου αφαιρεί τη σήραγγα και ανοίγει την εξερχόμενη σύνδεση, οπότε και ο προορισμός βλέπει μία διεύθυνση, αυτή τη φορά του παρόχου. Το παρατηρήσιμο αποτέλεσμα είναι το ίδιο· η γνώση όχι. Ένα τεστ που εκτυπώνει μια IP απαντά σε ποιο σύστημα βρίσκεστε και τίποτα για την κατανομή εμπιστοσύνης που πραγματικά διαφέρει.
Ποιος τελικά γνωρίζει τι
Το τελικό σημείο VPN βλέπει τη διεύθυνση προέλευσης, τον προορισμό, τον χρόνο και τον όγκο σε ένα σημείο. Αυτή η συγκέντρωση είναι το σχέδιο: ένας πάροχος, μία επιφάνεια αρχείων καταγραφής, ένα σημείο για κλήτευση ή για κακή ρύθμιση. Ό,τι κερδίζετε προέρχεται από την εμπιστοσύνη σε αυτό το μέρος και από την πολιτική εξόδου του τελικού σημείου.
Το Tor μοιράζει αυτή τη γνώση. Ο φύλακας ξέρει τη διεύθυνσή σας αλλά όχι τον προορισμό· η έξοδος ξέρει τον προορισμό αλλά όχι τη διεύθυνσή σας. Ένας κόμβος δεν πρέπει να μαθαίνει και τα δύο. Είναι δομική ιδιότητα, όχι υπόσχεση απέναντι σε παγκόσμιο παρατηρητή, σε κόμβο που συσχετίζει χρόνους ή σε παραβιασμένο τελικό σημείο, οπότε δείτε το ως διαφορετική κατανομή του ίδιου κινδύνου και όχι ως ανωνυμία που δεν μπορεί να αποτύχει.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Η κάλυψη είναι απόφαση προγράμματος περιήγησης ή διαδρομής
Ο Tor Browser δρομολογεί την κίνησή του και προσθέτει προστασίες που ένας συνηθισμένος πελάτης VPN δεν αναπαράγει: αντίσταση σε αποτυπώματα, απομόνωση πρώτου μέρους, σταθερό μέγεθος παραθύρου και ενέργεια Νέα ταυτότητα που πετά την κατάσταση της συνεδρίας. Άλλες εφαρμογές δεν χρησιμοποιούν αυτό το κύκλωμα αν δεν έχουν ρυθμιστεί έτσι, και μια εγκατάσταση Tor σε όλο το σύστημα είναι ξεχωριστό έργο από την εγκατάσταση του προγράμματος περιήγησης.
Ένα VPN έχει αντίθετη μορφή. Η κάλυψη ακολουθεί τον πίνακα δρομολόγησης, οπότε ένα προφίλ WireGuard με AllowedIPs = 0.0.0.0/0 συλλαμβάνει τα πάντα και μια λίστα διαχωρισμένης σήραγγας μόνο τα προθέματα που ονομάζει. Εκεί ακριβώς ζουν και οι διαρροές: ερωτήματα DNS, IPv6 και WebRTC μπορούν το καθένα να πάρει διαδρομή που η πολιτική δρομολόγησης δεν περιλάμβανε. Ελέγξτε μέσα από την εφαρμογή που απέτυχε, όχι από καρτέλα περιηγητή που μπορεί να χρησιμοποιεί άλλη διεπαφή.
Πολιτική θυρών, αποκλεισμένοι προορισμοί και HTTPS
Ένας κόμβος εξόδου μπορεί να αρνείται εξερχόμενες θύρες, και η προεπιλεγμένη πολιτική απορρίπτει μια λίστα θυρών επιρρεπών σε κατάχρηση, με τη θύρα SMTP 25 ανάμεσά τους. Ένας πελάτης αλληλογραφίας ρυθμισμένος μέσω Tor αποτυγχάνει επομένως στην έξοδο, κάτι που μοιάζει με βλάβη δικτύου και δεν είναι. Οι πάροχοι που τρέχουν κόμβο το ορίζουν ρητά:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Και οι προορισμοί αποκλείουν, και αποκλείουν τα δύο συστήματα διαφορετικά. Οι διευθύνσεις εξόδου Tor δημοσιεύονται, οπότε ένας ιστότοπος μπορεί να αρνηθεί ολόκληρη τη λίστα· τα τελικά σημεία VPN βρίσκονται σε εύρη κέντρων δεδομένων που απορρίπτονται εξίσου αδιάφορα. Όταν μια σελίδα αποτυγχάνει, διαχωρίστε τους τρεις υποψηφίους πριν αλλάξετε οτιδήποτε: πολιτική εξόδου ή εξερχόμενης κίνησης, προορισμός που αρνείται την προέλευση ή captive portal που αρπάζει το πρώτο αίτημα.
Κανένα από τα δύο συστήματα δεν αντικαθιστά την κρυπτογράφηση μεταφοράς. Το απλό HTTP είναι αναγνώσιμο στον κόμβο εξόδου και στο τελικό σημείο VPN εξίσου, οπότε κρατήστε το HTTPS ενεργό και διαβάστε την προειδοποίηση πιστοποιητικού αντί να την αγνοήσετε. Δύο έλεγχοι λύνουν γρήγορα το ζήτημα δρομολόγησης: το curl -s https://check.torproject.org/api/ip επιστρέφει IsTor όταν το αίτημα πέρασε από κύκλωμα, και το curl -s https://ifconfig.me δείχνει τη διεύθυνση εξόδου που θα παρουσίαζε ένα VPN. Εκτελώντας και τα δύο μαθαίνετε ποια διαδρομή χρησιμοποιεί πραγματικά το κέλυφος.
Μη χρησιμοποιείτε το ένα ως το άλλο
Η διεύθυνση ενός κόμβου εξόδου δεν είναι προφίλ VPN. Το να στρέψετε έναν πελάτη OpenVPN ή WireGuard σε κόμβο στη θύρα 443 δεν δημιουργεί σήραγγα, γιατί δεν ακούει εκεί καμία υπηρεσία VPN· ο κόμβος είναι ένα άλμα στο κύκλωμα κάποιου άλλου. Αντίστροφα, ένα τελικό σημείο VPN δεν είναι σημείο εισόδου για το Tor, και οι ρυθμίσεις γεφυρών του Tor Browser δεν είναι μέρος για να επικολλήσετε όνομα κεντρικού υπολογιστή εμπορικού VPN. Αν τρέχετε Tor πάνω από VPN, ο φύλακας βλέπει τη διεύθυνση VPN αντί για τη δική σας, κάτι που αλλάζει την κατανομή χωρίς να ενώνει τους δύο ρόλους.
Πριν επιλέξετε, απαντήστε σε τέσσερα ερωτήματα με σειρά: ποιος διαχειρίζεται το τελικό σημείο και τι διατηρεί, τι καλύπτει το εργαλείο σε αυτή τη συσκευή, ποιες θύρες και προορισμούς επιτρέπει η πολιτική εξόδου και τι προσθέτει η εφαρμογή πέρα από τη διαδρομή δικτύου. Μια εργασία που χρειάζεται συνηθισμένη πρόσβαση δικτύου για πολλά προγράμματα θέλει VPN. Μια εργασία που χρειάζεται τις προστασίες σε επίπεδο περιηγητή και το μοντέλο κυκλώματος θέλει Tor Browser, ενημερωμένο. Αν η απάντηση είναι «και τα δύο», τρέξτε τα με σκόπιμη σειρά και σημειώστε ποια διεύθυνση βλέπει κάθε πλευρά.