Tor VPN gainean: nork ikusten du zure IPa, eta nork ikusten du Tor erabiltzen duzula?

VPN bezeroa konektatzen duzu, tunelaren zain egoten zara, eta gero Tor Browser irekitzen duzu zirkuitu bat eraiki dezan. Ohiko sekuentzia horrek erabakitzen du nork zer ikusten duen. Ordena horretan Torko sarrera erreleak zure VPN irteeraren helbidea agurtzen du, eta zure VPN hornitzaileak guardia errele publiko bat agurtzen du. Alderantziz eginez gero, bi behatzaileak aldatzen dira. Bi ordenek merezi dute errepasoa, bezeroaren ezarpenek isilpean apurtzen dutelako jendeak indarrean zegoela uste zuen sekuentzia, eta hori harrapatzen duen egiaztapena berbera delako bi kasuetan.

Hasi ordenarekin, ez produktuarekin

Bi antolamendu deitzen dira «VPN Tor-ekin», eta lehenengoa soilik da ohikoa. Tor VPN gainean, tunela jada altxatuta dago Tor abiatzen denean, beraz tor prozesuak bere guardia konexioa tunelera bidaltzen du irteerako beste edozein trafiko bezala. VPN Tor gainean, Tor altxatzen da lehenengo eta VPN saioa bera zirkuituan zehar bidaiatzen du, hornitzailearengana Tor irteera batetik iritsiz.

Haien artean aldatzen dena kanpokoena den estekaren urrutiko muturrean zein helbide dagoen da. Behatzaile bakoitzak aurreko jauzia baino ez du ikusten, inoiz ez bide osoa: guardiak ikusten du nor konektatu zaion, eta VPN zerbitzariak ikusten du nor konektatu zaion. Torek ez du zure tunelaren helbide lokala kanpora eramaten, eta ez dago eremurik protokoloan hori egin dezakeenik.

Bi ordenetan helmugako webguneak Tor irteera bat ikusten du oraindik, eta ez ordena batek ez besteak ez du aldatzen gune horrek zure saio-hasieratik ikasten duena. Aldea bi ertzetara mugatzen da.

Zer ikusten duen Torko sarrera erreleak

Sarrerak, edo guardiak, TCP konexio arrunta onartzen du errele ataka batean eta TLS elkarrizketa hasten du bezeroarekin. Tor-VPN gaineko antolamenduan konexio horren iturria zure VPN irteera da. Tor-lehen antolamenduan zure makinak Tor sarera iristeko erabili zuen helbidea da, normalean zure etxeko konexioa.

Horrek galderaren IP erdia erantzuten du, baina tunelak konexioa benetan eraman badu soilik. Tor prozesuak guardiara bere socket propioarekin iristen da, eta socket hori ez da Tor Browserren proxy ezarpenen mende. Nabigatzaileak barneko tor prozesuarekin hitz egiten du SOCKS bidez 9150 atakan, eta gero toreak bere konexioa irekitzen du kernelaren bideratze taula erabiliz. Socks5Proxy lerro batek torrc-en, edo bezero garraio batek, bide hori aldatzen du. Besterik ez.

Linuxen erantzuna makinatik irakur dezakezu. Galdetu kernelari zein interfaze erabiliko lukeen edozein helbide publikotarako, eta gero begiratu ezarritako konexioaren helbide lokala:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Bideak dev wg0 edo dev tun0 esaten badu, eta ezarritako konexioaren helbide lokala tunelaren helbidea bada, Tor VPN barruan dago. Bideak zure interfaze fisikoa aipatzen badu, kanpoan dago, bezeroaren adierazleak esan nahi duena esan nahi duela.

Zer ikus dezakeen zure VPN hornitzaileak

Hornitzaileak zure VPN saioa amaitzen du, beraz konektatzen zaren helbideak ikusten ditu. Guardia erreleen helbideak konsentsu publikoan argitaratzen dira eta haien atakak oso ezagunak dira, beraz bat parekatzea zerrenda bilaketa da, ez pakete ikuskapen sakona. Hornitzaileak ez du Tor hautsi behar saio bat Tor dela jakiteko.

Ikusten ez duena zirkuituaren gainerakoa da. Errele ertaina eta irteera Toren barnean aukeratzen dira, eta hornitzaileak guardiarako esteka baino ez du kudeatzen. Orriaren edukia irteeran amaitzen den TLS barruan geratzen da, eta Tor trafikorako izen ebazpena irteeran ere gertatzen da, beraz ez dago hornitzailean helmuga batekin korrelaziorik egiteko DNS kontsultarik.

obfs4-rekin zubiek bilaketa aldatzen dute, ez topologia. Zubi helbidea errele zerrenda publikotik falta da eta trafikoa Tor itxura ez izateko moldatzen da, beraz helbideak soilik alderatzen dituen eragile batek ez du seinalatuko. Saioa zure VPN bezerotik dator oraindik, eta hornitzaileak oraindik amaiera puntu bat, bolumen bat eta ordutegi bat ikusten ditu.

Gaitasuna ez da atxikipen politika bat

Konexio bat behatu dezakeen eragile batek ez du agindu hori gordeko duenik. Erregistratzea erabaki bereizia da, politika batean idatzita, jurisdikzioak mugatuta eta jada fidatzen zaren frogak erabiliz soilik egiazta daitekeena. Erregistrorik gabeko etiketa batek ez du goian deskribatutako sare rola aldatzen.

Kontuaren identitateak normalean irteerako helbideak baino gehiago balio du. Helbide elektroniko batekin saioa hasi bazenuen, edo txartelarekin ordaindu bazenuen, hornitzaileak saioa zurekin lot dezake helmuga bakar bat ere erregistratu gabe. Irteerako IPak biratzeak ez du horretan ezer egiten.

Egiaztatu estaldura bi erantzunetako edozein fidatu aurretik

Tor VPN gainean daramala uste duen jende gehienak zati bat baino ez du eramaten. Tor Browser baztertzen duen tunelatze zatitua, nabigatzailea estaltzen duen baina tor zerbitzua ez duen gelditze etengailua, tunela altxatu aurretik exekutatzen den abio unitatea, eta tunela inguratzen duen IPv6 bidea dira ohiko laurak.

Bezeroaren egoera pantaila irakurtzeak ez du horietako bat ere probatzen. Hori probatzen duen testa: utzi Tor Browser martxan, jaitsi tunela, eta begiratu guardia konexioak interfaze fisikoan bizirauten duen.

Egiaztatzen dudan ordena, lehen porrotean geldituz:

• ip route get 203.0.113.10 tunel gailua itzultzen du.
• ss -tnp | grep -i tor guardia konexioa erakusten du tunel helbide lokalarekin.
• ip -6 route ez du biderik lehenespenik tunelatik kanpo, edo IPv6 itzalita dago bezeroan.
• VPN jaisteak tor konexioa amaitzen edo birbideratzen du esteka fisikoan utzi beharrean.

Zein ordena egokitzen zaio defendatzen duzunari

Bi orderek zerbait ezkutatzen dute eta zerbait erakusten dute, beraz erantzuna zaintzen zaizun behatzaileari buruzko hautua da.

Irakurri zutabez zutabe, errenkada bat saihestu nahi duzunarekin bat etorri arte. Kezka sare lokal bat edo Tor erregistratzen edo blokeatzen duen ISP bat bada, Tor VPN gainean arduratzen da. Kezka VPN eragileak zure etxeko helbidea jakitea bada, VPN Tor gainean arduratzen da, eta horren prezioa ordaintzen du Tor erabilera zure sareari eta etxeko helbidea guardiari erakutsiz.

Bi antolamenduetako batek ere ez ditu bi ertzak itsu uzten. Behatzaile bat gehitzeak ez du bestea kentzen. Tor Projecten oharra VPN bat Torekin exekutatzeari buruz berdin dio beste aldetik: tunelak aldatzen du noren fidegarria den eta zein porrot bide dauden, beraz ez da hobekuntza ezkutatu nahi zenuena erabaki gabe gehitzea.

Erabaki behatzailea lehenengo, hautatu ordena bigarren, eta egiaztatu ip route get eta ss-ekin, ez bezeroaren adierazlearekin. Behatzailea VPN hornitzailea bera behartu dezakeen norbait bada, ordena hautaketak ez du hori konpontzen.