ממסר יציאה של Tor מול שרת יציאה של VPN: מה כל אחד יודע
ממסר יציאה של Tor ושרת יציאה של VPN מציגים שניהם כתובת ציבורית אחת, אך מחלקים את הידע אחרת. השוו נראות, כיסוי ומדיניות יציאות.
שתי השיטות מסתירות את הכתובת שלכם מאחורי IP ציבורי אחד, ואתר שמדפיס את הכתובת שהוא רואה לא יכול להבדיל ביניהן. ההבדל הוא מי לומד מה בדרך, כמה תעבורה מכוסה ואילו יציאות מותרות לעבוד. ממסר יציאה של Tor הוא הקפיצה האחרונה במעגל של שלושה ממסרים; שרת יציאה של VPN מסיים את המנהרה שלכם ופותח בעצמו את החיבור היוצא. כך אני מחליט איזו שיטה משימה צריכה, ומה אני בודק לפני שאני מניח שאחת מתנהגת כמו האחרת.
שני מסלולים שמסתיימים בכתובת אחת
Tor בונה מעגל דרך שומר, ממסר אמצעי ויציאה, ומצפין את המטען בשכבות כך שכל ממסר מקלף רק את השכבה שלו. היציאה מבצעת את חיבור ה-TCP הרגיל ליעד, ולכן היעד רואה את כתובת היציאה. הלקוח שלכם לא מדבר ישירות עם היעד, וגם השומר לא רואה אותו.
VPN היא מנהרה אחת לנקודת קצה אחת. השרת של המפעיל מסיר את המנהרה ופותח את החיבור היוצא, כך שגם היעד רואה כתובת אחת, הפעם של המפעיל. התוצאה הנצפית זהה; הידע אינו. בדיקה שמדפיסה IP עונה באיזו מערכת אתם נמצאים ולא אומרת דבר על חלוקת האמון שבאמת שונה.
מי בסוף יודע מה
נקודת הקצה של VPN רואה את כתובת המקור, את היעד, את התזמון ואת הנפח במקום אחד. הריכוז הזה הוא התכנון: מפעיל אחד, משטח לוגים אחד, מקום אחד לזימון או לתצורה שגויה. כל מה שאתם מרוויחים בא מהאמון באותו צד וממדיניות היציאה של נקודת הקצה.
Tor מחלק את הידע הזה. השומר יודע את הכתובת שלכם אבל לא את היעד; היציאה יודעת את היעד אבל לא את הכתובת שלכם. ממסר לא אמור ללמוד את שניהם. זו תכונה מבנית, לא הבטחה נגד צופה גלובלי, ממסר שמתאם זמנים או נקודת קצה שנפרצה, לכן התייחסו לזה כאל חלוקה אחרת של אותו סיכון ולא כאנונימיות שלא יכולה להיכשל.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
כיסוי הוא החלטה של דפדפן או החלטה של מסלול
דפדפן Tor מנתב את התעבורה שלו ומוסיף הגנות שדפדפן VPN רגיל אינו משחזר: התנגדות לטביעות אצבע, בידוד צד ראשון, גודל חלון קבוע ופעולת זהות חדשה שזורקת את מצב ההפעלה. יישומים אחרים לא משתמשים במעגל הזה אלא אם הוגדרו לכך, והתקנת Tor ברמת המערכת היא פרויקט נפרד מהתקנת הדפדפן.
VPN היא הצורה ההפוכה. הכיסוי עוקב אחרי טבלת הניתוב, כך שפרופיל WireGuard עם AllowedIPs = 0.0.0.0/0 לוכד הכול ורשימת מנהרה מפוצלת לוכדת רק את הקידומות שהיא מציינת. בדיוק במנגנון הזה חיים גם הדליפות: שאילתות DNS, IPv6 ו-WebRTC יכולות כל אחת לבחור מסלול שמדיניות הניתוב לא כללה. בדקו מתוך היישום שנכשל, לא מלשונית דפדפן שאולי משתמשת בממשק אחר.
מדיניות יציאות, יעדים חסומים ו-HTTPS
ממסר יציאה רשאי לסרב ליציאות יוצאות, ומדיניות ברירת המחדל דוחה רשימה של יציאות מועדות לניצול לרעה, ובהן יציאת SMTP 25. לכן לקוח דואר שהוגדר דרך Tor נכשל ביציאה, מה שנראה כתקלת רשת ואינו. מפעילים שמריצים ממסר קובעים זאת במפורש:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25גם יעדים חוסמים, והם חוסמים את שתי השיטות באופן שונה. כתובות יציאה של Tor מפורסמות, כך שאתר יכול לדחות את כל הרשימה; נקודות קצה של VPN יושבות בטווחי מרכזי נתונים שנדחים באותה קלות. כשדף נכשל, הפרידו את שלושת המועמדים לפני שמשנים משהו: מדיניות יציאה או יציאה החוצה, יעד שדוחה את המקור, או פורטל שבוי שחוטף את הבקשה הראשונה.
אף אחת מהשיטות אינה מחליפה הצפנת תעבורה. HTTP פשוט קריא בממסר היציאה ובנקודת הקצה של VPN כאחד, לכן השאירו HTTPS פועל וקראו את אזהרת האישור במקום להתעלם ממנה. שתי בדיקות מכריעות את שאלת הניתוב במהירות: curl -s https://check.torproject.org/api/ip מחזיר IsTor כשהבקשה עברה במעגל, ו-curl -s https://ifconfig.me מציג את כתובת היציאה ש-VPN היה מציג. הרצת שתיהן אומרת לכם באיזה מסלול המעטפת באמת משתמשת.
אל תשתמשו באחד כמו בשני
הכתובת של ממסר יציאה אינה פרופיל VPN. הפניית לקוח OpenVPN או WireGuard לממסר ביציאה 443 אינה יוצרת מנהרה, כי אין שם שירות VPN שמקשיב; הממסר הוא קפיצה במעגל של מישהו אחר. בכיוון ההפוך, נקודת קצה של VPN אינה נקודת כניסה ל-Tor, והגדרות הגשר של דפדפן Tor אינן מקום להדביק בו שם מארח של VPN מסחרי. אם אתם מריצים Tor מעל VPN, השומר רואה את כתובת ה-VPN במקומכם, מה שמשנה את החלוקה בלי למזג את שני התפקידים.
לפני הבחירה, ענו על ארבע שאלות לפי הסדר: מי מפעיל את נקודת הקצה ומה היא שומרת, מה הכלי מכסה במכשיר הזה, אילו יציאות ויעדים מדיניות היציאה מאפשרת, ומה היישום מוסיף מעבר למסלול הרשת. משימה שצריכה גישה רגילה לרשת עבור תוכניות רבות רוצה VPN. משימה שצריכה את ההגנות ברמת הדפדפן ואת מודל המעגל רוצה את דפדפן Tor, כשהוא מעודכן. אם התשובה היא «שניהם», הריצו אותם בסדר מכוון ורשמו איזו כתובת כל צד רואה.