Tor VPN-i kaudu: kes näeb sinu IP-d ja kes näeb, et kasutad Tor'i?

Ühendad VPN-kliendi, ootad tunnelit ja avad seejärel Tor Browseri, et see ehitaks ahela. Just see tavaline järjekord otsustab, kes mida näeb. Selles järjekorras tervitab Tori sissepääsu relee sinu VPN-i väljundi aadressi ja sinu VPN-i pakkuja tervitab avalikku valve releed. Tee seda vastupidi ja mõlemad vaatlejad muutuvad. Mõlemat järjekorda tasub läbi käia, sest kliendi seaded lõhuvad vaikselt järjekorra, mille inimeste arvates kehtis, ja kontroll, mis selle püüab, on mõlemal juhul sama.

Alusta järjekorrast, mitte tootest

Kaht paigutust nimetatakse „VPN Toriga“ ja tavaline on ainult esimene. Kui Tor jookseb VPN-i kaudu, on tunnel Tori käivitumise ajal juba üleval, nii et tor-protsess saadab oma valveühenduse tunnelisse nagu iga muu väljuv liiklus. Kui VPN jookseb Tori kaudu, tõuseb esimesena Tor ja VPN-i seanss ise läbib ahela, jõudes pakkujani Tori väljundi kaudu.

Nende vahel muutub see, milline aadress on kõige välimise lüli kaugemas otsas. Iga vaatleja näeb ainult eelmist hüpet, mitte kunagi kogu teed: valve näeb, kes temaga ühendus, ja VPN-server näeb, kes temaga ühendus. Tor ei kanna sinu kohalikku tunneli aadressi väljapoole ja protokollis pole välja, kus see seda teha saaks.

Mõlemas järjekorras näeb sihtveebileht endiselt Tori väljundit ja kumbki järjekord ei muuda seda, mida see sait sinu sisselogimisest teada saab. Erinevus piirdub kahe servaga.

Mida Tori sissepääsu relee näeb

Sissepääs ehk valve võtab relee pordil vastu tavalise TCP-ühenduse ja alustab kliendiga TLS-kätlust. Tor-VPN-i paigutuses on selle ühenduse allikas sinu VPN-i väljund. Tor-esimesena paigutuses on see aadress, mida sinu masin kasutas Tori võrgu saavutamiseks, tavaliselt sinu kodune ühendus.

See vastab küsimuse IP-poolele, aga ainult siis, kui tunnel ühenduse tegelikult kohale kandis. Tori protsess jõuab valveni oma sokliga ja seda soklit ei juhi Tor Browseri puhverserveri seaded. Brauser räägib kaasasoleva tor-protsessiga SOCKS-i kaudu pordil 9150 ja seejärel avab tor oma ühenduse kerneli marsruutimistabeli abil. Socks5Proxy rida torrc-failis või kliendi transport muudab seda teed. Miski muu mitte.

Linuxis saad vastuse masinalt lugeda. Küsi kernelilt, millist liidest see suvalise avaliku aadressi jaoks kasutaks, ja vaata seejärel loodud ühenduse kohalikku aadressi:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Kui marsruut ütleb dev wg0 või dev tun0 ja loodud ühenduse kohalik aadress on tunneli aadress, on Tor VPN-i sees. Kui marsruut nimetab sinu füüsilist liidest, on see väljaspool, mida iganes kliendi enda indikaator väidab.

Mida sinu VPN-i pakkuja näha võib

Pakkuja lõpetab sinu VPN-i seansi, seega näeb ta aadresse, millega ühendud. Valve releede aadressid avaldatakse avalikus konsensuses ja nende pordid on hästi teada, nii et nende sobitamine on nimekirjaotsing, mitte sügav paketianalüüs. Pakkuja ei pea Tori murdma, et teada, et seanss on Tor.

Mida ta ei näe, on ülejäänud ahel. Keskmine relee ja väljund valitakse Tori sees ning pakkuja käsitleb ainult lüli valveni. Lehe sisu jääb TLS-i sisse, mis lõpeb väljundis, ja Tori liikluse nimelahendus toimub samuti väljundis, nii et pakkujal pole ühtegi DNS-päringut, mida sihtkohaga korreleerida.

Sillad obfs4-ga muudavad otsingut, mitte topoloogiat. Silla aadress puudub avalikust releede nimekirjast ja liiklust kujundatakse nii, et see ei näeks välja nagu Tor, nii et operaator, kes ainult aadresse võrdleb, ei märgi seda. Seanss tuleb endiselt sinu VPN-kliendist ja pakkuja näeb endiselt üht lõpp-punkti, üht mahtu ja üht ajakava.

Võimekus ei ole säilitamispoliitika

Operaator, kes saab ühendust jälgida, ei ole lubanud seda hoida. Logimine on eraldi otsus, kirjas poliitikas, jurisdiktsiooniga piiratud ja kontrollitav ainult tõenditega, mida juba usaldad. Kirje „logisid pole“ ei muuda ülalkirjeldatud võrgu rolli.

Konto identiteet on tavaliselt väljundi aadressist olulisem. Kui logisid sisse e-posti aadressiga või maksid kaardiga, saab pakkuja seansi sinuga siduda, ilma et logiks ühtegi sihtkohta. Väljundi IP-de pööramine ei tee selle kohta midagi.

Kontrolli katvust enne, kui usaldad kumbagi vastust

Enamik neist, kes arvavad, et jooksutavad Tori VPN-i kaudu, jooksutavad sellest ainult osa. Jagatud tunnel, mis jätab Tor Browseri välja, hukkamislüliti, mis katab brauseri, aga mitte tor-teenust, käivitusüksus, mis jookseb enne tunneli üles tõusmist, ja IPv6-tee ümber tunneli on tavapärased neli.

Kliendi olekuekraani lugemine ei testi neist ühtegi. Test, mis seda teeb: jäta Tor Browser tööle, võta tunnel maha ja vaata, kas valveühendus jääb füüsilisele liidesele püsima.

Järjekord, milles kontrollin, peatudes esimesel ebaõnnestumisel:

• ip route get 203.0.113.10 tagastab tunnelseadme.
• ss -tnp | grep -i tor näitab valveühendust tunneli kohaliku aadressiga.
• ip -6 route ei oma vaikimisi marsruuti väljaspool tunnelit või on IPv6 kliendis väljas.
• VPN-i maha võtmine lõpetab tor-ühenduse või suunab selle ümber, selle asemel et jätta see füüsilisele lülile.

Milline järjekord sobib sellega, mida kaitseb

Mõlemad järjekorrad varjavad midagi ja paljastavad midagi, nii et vastus on valik vaatleja kohta, kellest hoolid.

Loe seda veeru kaupa, kuni rida vastab sellele, mida püüad ära hoida. Kui mure on kohalik võrk või ISP, mis Tori salvestab või blokeerib, saab Tor VPN-i kaudu sellega hakkama. Kui mure on, et VPN-operaator saab teada sinu koduse aadressi, saab VPN Tori kaudu sellega hakkama ja maksab selle eest, paljastades Tori kasutuse sinu enda võrgule ja koduse aadressi valvele.

Kumbki paigutus ei jäta mõlemat serva pimedaks. Vaatleja lisamine ei eemalda teist. Tor Projecti märkus VPN-i kasutamise kohta Toriga ütleb sama teisest küljest: tunnel muudab seda, keda usaldatakse ja millised tõrketeed on olemas, nii et see pole täiendus, mida lisada ilma otsustamata, mida tahtsid peita.

Otsusta esmalt vaatleja, vali seejärel järjekord ja kontrolli ip route get ja ss-iga, mitte kliendi indikaatoriga. Kui vaatleja on keegi, kes suudab VPN-i pakkujat ennast sundida, ei paranda ükski järjekorravalik seda.