Tor μέσω VPN: ποιος βλέπει την IP σας και ποιος βλέπει ότι χρησιμοποιείτε Tor;

Συνδέετε τον πελάτη VPN, περιμένετε τη σήραγγα και μετά ανοίγετε το Tor Browser για να χτίσει ένα κύκλωμα. Αυτή η συνηθισμένη ακολουθία είναι που καθορίζει ποιος βλέπει τι. Με αυτή τη σειρά ο κόμβος εισόδου του Tor χαιρετά τη διεύθυνση εξόδου VPN σας, και ο πάροχος VPN σας χαιρετά έναν δημόσιο κόμβο φρουρό. Κάντε το αντίστροφα και οι δύο παρατηρητές αλλάζουν. Αξίζει να περάσετε και τις δύο σειρές, γιατί οι ρυθμίσεις του πελάτη σπάνε ήσυχα την ακολουθία που οι άνθρωποι πίστευαν ότι ισχύει, και ο έλεγχος που το πιάνει είναι ο ίδιος και στις δύο περιπτώσεις.

Ξεκινήστε από τη σειρά, όχι από το προϊόν

Δύο διατάξεις ονομάζονται «VPN με Tor», και μόνο η πρώτη είναι συνηθισμένη. Στο Tor μέσω VPN η σήραγγα είναι ήδη σηκωμένη όταν ξεκινά το Tor, οπότε η διεργασία tor στέλνει τη σύνδεσή της προς τον φρουρό μέσα στη σήραγγα όπως κάθε άλλη εξερχόμενη κίνηση. Στο VPN μέσω Tor πρώτα σηκώνεται το Tor και η ίδια η συνεδρία VPN ταξιδεύει μέσα από το κύκλωμα, φτάνοντας στον πάροχο από έξοδο Tor.

Αυτό που αλλάζει μεταξύ τους είναι ποια διεύθυνση βρίσκεται στο μακρινό άκρο του εξωτερικού κρίκου. Κάθε παρατηρητής βλέπει μόνο το προηγούμενο άλμα, ποτέ ολόκληρη τη διαδρομή: ο φρουρός βλέπει ποιος συνδέθηκε μαζί του, και ο διακομιστής VPN βλέπει ποιος συνδέθηκε μαζί του. Το Tor δεν μεταφέρει τη τοπική διεύθυνση της σήραγγάς σας προς τα έξω, και δεν υπάρχει πεδίο στο πρωτόκολλο όπου θα μπορούσε.

Και στις δύο σειρές ο ιστότοπος προορισμού βλέπει ακόμη έξοδο Tor, και καμία σειρά δεν αλλάζει όσα μαθαίνει ο ιστότοπος από τη σύνδεσή σας. Η διαφορά περιορίζεται στις δύο άκρες.

Τι βλέπει ο κόμβος εισόδου του Tor

Η είσοδος, ή φρουρός, δέχεται μια συνηθισμένη σύνδεση TCP σε θύρα κόμβου και ξεκινά χειραψία TLS με τον πελάτη. Σε διάταξη Tor-μέσω-VPN η πηγή αυτής της σύνδεσης είναι η έξοδος VPN σας. Σε διάταξη Tor-πρώτα είναι η διεύθυνση που χρησιμοποίησε το μηχάνημά σας για να φτάσει στο δίκτυο Tor, συνήθως η οικιακή σας σύνδεση.

Αυτό απαντά στο μισό της ερώτησης για την IP, αλλά μόνο αν η σήραγγα μετέφερε πράγματι τη σύνδεση. Η διεργασία Tor φτάνει στον φρουρό με δικό της socket, και αυτό το socket δεν διέπεται από τις ρυθμίσεις διαμεσολαβητή του Tor Browser. Ο περιηγητής μιλά με την ενσωματωμένη διεργασία tor μέσω SOCKS στη θύρα 9150, και μετά το tor ανοίγει τη δική του σύνδεση χρησιμοποιώντας τον πίνακα δρομολόγησης του πυρήνα. Μια γραμμή Socks5Proxy στο torrc, ή μια μεταφορά πελάτη, αλλάζει αυτή τη διαδρομή. Τίποτε άλλο.

Στο Linux μπορείτε να διαβάσετε την απάντηση από το μηχάνημα. Ρωτήστε τον πυρήνα ποια διεπαφή θα χρησιμοποιούσε για μια αυθαίρετη δημόσια διεύθυνση, και μετά κοιτάξτε την τοπική διεύθυνση της εγκατεστημένης σύνδεσης:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Αν η διαδρομή λέει dev wg0 ή dev tun0, και η τοπική διεύθυνση της εγκατεστημένης σύνδεσης είναι η διεύθυνση της σήραγγας, το Tor είναι μέσα στο VPN. Αν η διαδρομή ονομάζει τη φυσική σας διεπαφή, είναι έξω, ό,τι κι αν ισχυρίζεται η ένδειξη του πελάτη.

Τι μπορεί να δει ο πάροχος VPN σας

Ο πάροχος τερματίζει τη συνεδρία VPN σας, άρα βλέπει τις διευθύνσεις με τις οποίες συνδέεστε. Οι διευθύνσεις των κόμβων φρουρών δημοσιεύονται στη δημόσια συναίνεση και οι θύρες τους είναι γνωστές, οπότε το ταίριασμα είναι αναζήτηση σε λίστα και όχι βαθιά επιθεώρηση πακέτων. Ο πάροχος δεν χρειάζεται να σπάσει το Tor για να ξέρει ότι μια συνεδρία είναι Tor.

Αυτό που δεν βλέπει είναι το υπόλοιπο κύκλωμα. Ο μεσαίος κόμβος και η έξοδος επιλέγονται μέσα στο Tor, και ο πάροχος χειρίζεται μόνο τον κρίκο προς τον φρουρό. Το περιεχόμενο της σελίδας μένει μέσα σε TLS που τερματίζει στην έξοδο, και η επίλυση ονομάτων για την κίνηση Tor γίνεται επίσης στην έξοδο, άρα δεν υπάρχει κανένα ερώτημα DNS στον πάροχο για συσχέτιση με προορισμό.

Οι γέφυρες με obfs4 αλλάζουν την αναζήτηση, όχι την τοπολογία. Μια διεύθυνση γέφυρας λείπει από τη δημόσια λίστα κόμβων και η κίνηση διαμορφώνεται ώστε να μη μοιάζει με Tor, οπότε ένας φορέας που συγκρίνει μόνο διευθύνσεις δεν θα τη σημειώσει. Η συνεδρία εξακολουθεί να έρχεται από τον πελάτη VPN σας, και ο πάροχος εξακολουθεί να βλέπει ένα τελικό σημείο, έναν όγκο και ένα χρονικό πρόγραμμα.

Η δυνατότητα δεν είναι πολιτική διατήρησης

Ένας φορέας που μπορεί να παρατηρήσει μια σύνδεση δεν υποσχέθηκε να την κρατήσει. Η καταγραφή είναι ξεχωριστή απόφαση, γραμμένη σε πολιτική, περιορισμένη από τη δικαιοδοσία και ελέγξιμη μόνο μέσα από αποδείξεις που ήδη εμπιστεύεστε. Μια ετικέτα χωρίς αρχεία καταγραφής δεν αλλάζει τον ρόλο δικτύου που περιγράφτηκε παραπάνω.

Η ταυτότητα του λογαριασμού συνήθως μετράει περισσότερο από τη διεύθυνση εξόδου. Αν συνδεθήκατε με διεύθυνση email, ή πληρώσατε με κάρτα, ο πάροχος μπορεί να συνδέσει τη συνεδρία μαζί σας χωρίς να καταγράψει ούτε έναν προορισμό. Η εναλλαγή διευθύνσεων IP εξόδου δεν κάνει τίποτε γι' αυτό.

Ελέγξτε την κάλυψη πριν εμπιστευτείτε οποιαδήποτε από τις δύο απαντήσεις

Οι περισσότεροι που πιστεύουν ότι τρέχουν Tor μέσω VPN τρέχουν μέρος του. Η διαχωρισμένη σήραγγα που αποκλείει το Tor Browser, ο διακόπτης ασφαλείας που καλύπτει τον περιηγητή αλλά όχι την υπηρεσία tor, η μονάδα εκκίνησης που τρέχει πριν σηκωθεί η σήραγγα, και μια διαδρομή IPv6 γύρω από τη σήραγγα είναι τα συνηθισμένα τέσσερα.

Το διάβασμα της οθόνης κατάστασης του πελάτη δεν ελέγχει κανένα από αυτά. Ο έλεγχος που το κάνει: αφήστε το Tor Browser ανοιχτό, κατεβάστε τη σήραγγα και δείτε αν η σύνδεση με τον φρουρό επιβιώνει στη φυσική διεπαφή.

Η σειρά με την οποία ελέγχω, σταματώντας στην πρώτη αποτυχία:

• ip route get 203.0.113.10 επιστρέφει τη συσκευή σήραγγας.
• ss -tnp | grep -i tor δείχνει τη σύνδεση με τον φρουρό με τοπική διεύθυνση σήραγγας.
• ip -6 route δεν έχει προεπιλεγμένη διαδρομή εκτός σήραγγας, ή το IPv6 είναι κλειστό στον πελάτη.
• Η πτώση του VPN τερματίζει ή αναδρομολογεί τη σύνδεση tor αντί να την αφήνει στον φυσικό κρίκο.

Ποια σειρά ταιριάζει σε αυτό που υπερασπίζεστε

Και οι δύο σειρές κρύβουν κάτι και εκθέτουν κάτι, άρα η απάντηση είναι επιλογή για τον παρατηρητή που σας νοιάζει.

Διαβάστε το ανά στήλη μέχρι μια γραμμή να ταιριάξει με αυτό που προσπαθείτε να εμποδίσετε. Αν η ανησυχία είναι τοπικό δίκτυο ή πάροχος που καταγράφει ή μπλοκάρει το Tor, το Tor μέσω VPN το χειρίζεται. Αν η ανησυχία είναι να μάθει ο φορέας VPN τη διεύθυνση του σπιτιού σας, το VPN μέσω Tor το χειρίζεται, και το πληρώνει εκθέτοντας τη χρήση Tor στο δικό σας δίκτυο και τη διεύθυνση του σπιτιού σας στον φρουρό.

Καμία διάταξη δεν αφήνει και τις δύο άκρες στα τυφλά. Η προσθήκη ενός παρατηρητή δεν αφαιρεί άλλον. Η σημείωση του Tor Project για το τρέξιμο VPN με Tor λέει το ίδιο από την άλλη πλευρά: η σήραγγα αλλάζει ποιος είναι αξιόπιστος και ποιες διαδρομές αστοχίας υπάρχουν, άρα δεν είναι αναβάθμιση που προσθέτεις χωρίς να αποφασίσεις τι ήθελες κρυφό.

Αποφασίστε πρώτα τον παρατηρητή, διαλέξτε δεύτερο τη σειρά, και επαληθεύστε με ip route get και ss αντί με την ένδειξη του πελάτη. Αν ο παρατηρητής είναι κάποιος που μπορεί να εξαναγκάσει τον ίδιο τον πάροχο VPN, καμία επιλογή σειράς δεν το διορθώνει.