Un VPN diante de Tor fai máis difícil vixiarte?

Engadir outro segmento cifrado a unha ruta non elimina observadores; desprázaos e, ás veces, engade un. O exercicio útil consiste en debuxar a ruta e etiquetar quen ve que en cada paso, porque un VPN diante de Tor e un VPN alcanzado a través de Tor dan respostas opostas a case todas as preguntas que paga a pena facer. Ningún dos dous arranxos derrota un extremo comprometido, e ningún arranxa unha conta que nomea o usuario. Percorrer a ruta en orde e logo preguntar que falla cando desaparece unha capa converte un eslogan nunha decisión.

Percorre a ruta e nomea cada observador

Comeza polo caso sinxelo de Tor e etiqueta cada salto. A rede local e o provedor de internet ven unha conexión a un punto de entrada de Tor, xunto co seu tamaño e a súa temporización. O gardián de entrada ve o enderezo do cliente, e por iso o gardián é unha relación de longa duración e non unha escolla aleatoria. O nodo de saída ve o destino e o texto plano de todo o que non está cifrado de extremo a extremo, mentres que o destino ve un enderezo de saída sen ningún enderezo de cliente asociado.

Anota esas etiquetas antes de engadir nada. O diagrama é o argumento, e é fácil de comprobar.

Dúas ordes producen observacións distintas

Un VPN situado diante de Tor significa que o tráfico sae do dispositivo cara ao provedor de VPN, sae dese provedor e só entón chega a unha entrada de Tor. A rede local xa non ve Tor en absoluto, que é xusto o obxectivo cando unha rede o bloquea ou o vixía. O gardián de entrada agora ve o enderezo do VPN en lugar do do usuario, e o provedor de VPN ve que un cliente concreto se conecta a Tor cun patrón temporal determinado. Ese provedor convértese nunha parte nova cunha observación valiosa, e a súa política de rexistros pasa a formar parte do modelo de ameazas en lugar de quedar fóra del.

Chegar a un VPN a través de Tor inverte a orde e inverte tamén a exposición: o destino ve o enderezo do VPN, a saída de Tor xa non ve o destino e o provedor de VPN ve chegar tráfico de Tor en lugar do enderezo da casa dun cliente. Ademais grava a conexión con dúas capas de latencia e esixe un soporte de cliente que moitas aplicacións comerciais non ofrecen.

Escoller entre elas é unha cuestión de que observador importa máis, non de cal soa máis seguro. Un usuario que agocha o uso de Tor a unha rede local quere a primeira orde; un usuario que intenta que un destino non aprenda nada que se lle poida atribuír necesita outra análise, e ningunha das dúas ordes agocha un nome de conta.

Que segue identificando a sesión

Os observadores a nivel de enderezo só son unha parte da imaxe, e a miúdo non a decisiva. Unha conta con sesión iniciada ata a actividade a unha identidade independentemente de que enderezo de saída levou o paquete, e un rexistro de pagamento que o servizo poida vincular a unha persoa fai o mesmo. O estado do navegador tamén contribúe: unha cookie persistente, unha sesión gardada ou unha extensión identificadora poden seguir un usuario por circuítos deseñados para non ser vinculables.

O contido enviado a un sitio é o terceiro sinal. Un documento con metadatos, un nome escrito nun formulario ou un estilo de escritura único sobreviven a calquera número de capas de cifrado, e ningunha das ferramentas que ten diante está deseñada para tocar iso. Manter unha lista honesta destes identificadores protexe máis que engadir outro salto.

Planifica unha capa que desapareza

O comportamento ante fallos é onde os arranxos realmente difiren, e é unha propiedade de configuración e non unha característica de ningunha das dúas ferramentas. Se o VPN cae mentres Tor está configurado para pasar por el, detense Tor ou reconéctase en silencio pola ruta ordinaria? O segundo resultado non é unha fuga cara ao destino, pero revela á rede local que se está usando Tor, que pode ser exactamente o que o arranxo pretendía evitar.

Un interruptor de corte a nivel de dispositivo pode impoñer parte da resposta ao rexeitar o tráfico fóra do túnel, e só cobre o tráfico que o dispositivo encamiña. Unha aplicación excluída do túnel salta esa protección, e un resolutor usado durante a configuración da conexión pode revelar nomes mesmo cando a carga útil permanece dentro do túnel. Le as exclusións e a configuración do resolutor en lugar de supoñer que o interruptor cobre todo.

Deixa en paz o paquete do navegador

As proteccións do Tor Browser dependen de que todo o paquete se comporte como se deseñou: a súa propia configuración de proxy, o seu illamento entre sitios e as súas defensas contra pegadas dixitais. Apuntar un navegador corrente a un porto local de Tor, ou engadir unha extensión de proxy ao Tor Browser, cambia suposicións nas que se basea o deseño. A propia guía do Tor Project sobre combinar un VPN con Tor trata a combinación como unha configuración avanzada, e esa cautela refírese a estas interaccións e non ao provedor do VPN.

Antes de combinar ferramentas, sexa capaz de expor con frases sinxelas a ruta normal, a ruta de fallo e o papel de cada operador. Se a única xustificación é que dúas capas soan máis seguras, non hai ningún requisito contra o que deseñar, e o modo de fallo engadido é o principal que se engadiu.