Iniciar sesión por Tor dille ao sitio quen es, non onde

A dirección de saída cambia, o nome da conta non, e o sitio leva anos construíndo un perfil desa conta. Iniciar sesión por Tor elimina un sinal, a túa localización habitual na rede, e deixa intacto o resto do cadro. Iso segue valendo algo, e non é anonimato fronte ao servizo co que acabas de autenticarte. A distinción é fácil de enunciar e fácil de esquecer baixo presión.

Que revela o propio inicio de sesión

Un inicio de sesión correcto é unha declaración deliberada de que esta sesión pertence a esa conta. Desde o lado do servizo, todo o posterior é atribuíble á conta, incluídas as páxinas visitadas, as mensaxes enviadas e as horas do día en que aparece a conta.

Tor cambia o que o destino pode observar sobre a túa ruta de rede: en lugar da túa dirección, ve un repetidor de saída. Non cambia o que lle dixeches ao sitio ao autenticarte, nin fai que dous inicios de sesión da mesma conta non teñan relación.

As ligazóns dentro da conta funcionan igual. Unha dirección de recuperación, un número de teléfono, un método de pagamento gardado ou un alcume reutilizado noutro sitio vincúlanse á identidade coa que iniciaste sesión, independentemente da ruta que seguiron os paquetes.

Un circuíto novo non é unha conta nova

O navegador Tor ofrece dúas accións distintas que a xente trata como unha soa. Un circuíto novo para o sitio cambia a ruta de repetidores usada para ese destino e deixa intacto o estado privado do navegador. A identidade nova é máis ampla: borra o estado do navegador, pecha a actividade e comeza de cero, o que é unha operación distinta con consecuencias distintas.

Ningunha das dúas accións pide ao outro lado que esqueza nada. As cookies xa emitidas, un token de sesión que garda o sitio ou unha pegada de dispositivo recollida ao iniciar sesión seguen describindo o mesmo visitante despois de que cambie a ruta.

Así que unha dirección de saída nova non se le como unha persoa nova para un servizo que coñece a conta. Lese como a mesma conta que chega desde outro lugar, e ese é exactamente o patrón que os sistemas antifraude están feitos para detectar. Ese patrón non é un fallo do sitio. É o sitio facendo o traballo que lle pediches ao iniciar sesión, e as únicas sorpresas veñen de esperar o contrario.

Que segue vendo a saída

O repetidor de saída transporta o teu tráfico en claro salvo que o destino use HTTPS, por iso as comprobacións de certificado do navegador importan máis, non menos, nesta ruta. Unha saída maliciosa é un adversario realista para o tráfico non cifrado, e unha páxina de inicio de sesión é o peor lugar para atopala.

HTTPS protexe o contido da saída e non fai nada pola conta coa que escolliches autenticarte. As dúas proteccións cobren observadores distintos e ningunha substitúe a outra.

Espera as comprobacións da conta

Os servizos responden habitualmente a unha saída de Tor con verificación adicional: un captcha, unha confirmación por correo electrónico ou unha retención temporal. É unha reacción normal a un rango de orixe compartido e abusado antes, non unha proba de que a sesión fose comprometida.

A resposta útil é completar a comprobación admitida unha vez. Cambiar de circuíto repetidamente ata que desapareza un aviso non che ensina nada sobre a conta e pode verse peor que o aviso orixinal. Tamén desperdicia o único que estabas protexendo.

Se unha comprobación non se pode completar, iso é información sobre a política do servizo, e a decisión que hai que tomar é se paga a pena chegar á conta sen o túnel. Ambas as opcións son lexítimas; finxir que o obstáculo é un fallo, non.

Decide que obxectivo tes en realidade

Hai dous obxectivos que a xente confunde: protexer a ruta cara a unha identidade coñecida e evitar que actividades separadas queden unidas. Tor serve ben o primeiro. O segundo esixe non iniciar sesión en absoluto, ou iniciarla só cunha identidade creada para ese fin e nunca mesturada coa primeira.

Nomea o obxectivo antes de escoller a ferramenta. Se a conta debe usarse, a descrición honesta da configuración é unha ruta privada cara a unha conta coñecida, e a afirmación de privacidade debería limitarse ao que iso protexe de verdade.