האם VPN לפני Tor מקשה על מעקב אחריכם?

הוספת מקטע מוצפן נוסף למסלול אינה מסירה צופים; היא מעבירה אותם למקום אחר, ולפעמים מוסיפה עוד אחד. התרגיל המועיל הוא לשרטט את המסלול ולסמן מי רואה מה בכל שלב, משום ש-VPN לפני Tor ו-VPN שאליו מגיעים דרך Tor נותנים תשובות הפוכות כמעט לכל שאלה ששווה לשאול. אף אחד משני הסידורים אינו מנצח נקודת קצה שנפרצה, ואף אחד אינו מתקן חשבון שמציין את שם המשתמש. הליכה על המסלול לפי הסדר ואז שאלה מה נשבר כששכבה נעלמת הופכות סיסמה להחלטה.

עברו על המסלול ותנו שם לכל צופה

התחילו במקרה הרגיל של Tor וסמנו כל קפיצה. הרשת המקומית וספק האינטרנט רואים חיבור לנקודת כניסה של Tor, יחד עם גודלו והתזמון שלו. שומר הכניסה רואה את כתובת הלקוח, ולכן השומר הוא קשר ארוך טווח ולא בחירה אקראית. צומת היציאה רואה את היעד ואת הטקסט הגלוי של כל מה שאינו מוצפן מקצה לקצה, בעוד היעד רואה כתובת יציאה שאליה לא מחוברת כתובת לקוח.

רשמו את הסימונים האלה לפני שמוסיפים משהו. התרשים הוא הטיעון, וקל לבדוק אותו.

שני סדרים מייצרים תצפיות שונות

VPN שמוצב לפני Tor אומר שהתעבורה עוזבת את המכשיר לכיוון ספק ה-VPN, יוצאת מאותו ספק ורק אז מגיעה לכניסה של Tor. הרשת המקומית כבר אינה רואה את Tor בכלל, וזו כל המטרה כאשר רשת חוסמת או מנטרת אותו. שומר הכניסה רואה כעת את כתובת ה-VPN במקום את זו של המשתמש, וספק ה-VPN רואה שלקוח מסוים מתחבר ל-Tor בדפוס תזמון מסוים. אותו ספק הופך לצד חדש עם תצפית יקרת ערך, ומדיניות התיעוד שלו היא כעת חלק ממודל האיומים ולא מחוצה לו.

הגעה ל-VPN דרך Tor הופכת את הסדר וגם הופכת את מה שנחשף: היעד רואה את כתובת ה-VPN, יציאת Tor כבר אינה רואה את היעד, וספק ה-VPN רואה תעבורת Tor שמגיעה ולא את כתובת הבית של לקוח. היא גם מעמיסה על החיבור שתי שכבות של השהיה ודורשת תמיכת לקוח שיישומים מסחריים רבים אינם מספקים.

הבחירה ביניהם היא שאלה איזה צופה חשוב יותר, לא איזה נשמע בטוח יותר. משתמש שמסתיר שימוש ב-Tor מרשת מקומית רוצה את הסדר הראשון; משתמש שמנסה למנוע מיעד ללמוד משהו שאפשר לייחס לו זקוק לניתוח אחר, ואף סדר אינו מסתיר שם חשבון.

מה עדיין מזהה את החיבור

צופים ברמת הכתובת הם רק חלק מהתמונה, ולעיתים קרובות לא החלק המכריע. חשבון מחובר קושר את הפעילות לזהות בלי קשר לכתובת היציאה שנשאה את החבילה, ורשומת תשלום שהשירות יכול לקשור לאדם עושה אותו דבר. גם מצב הדפדפן תורם: קובץ cookie מתמיד, התחברות שמורה או הרחבה מזהה יכולים ללוות משתמש דרך מעגלים שתוכננו להיות בלתי ניתנים לקישור.

תוכן שנשלח לאתר הוא האות השלישי. מסמך עם מטא-נתונים, שם שהוקלד בטופס או סגנון כתיבה ייחודי שורדים כל מספר של שכבות הצפנה, ואף אחד מהכלים שלפניהם אינו מתוכנן לגעת בכך. ניהול רשימה כנה של המזהים האלה מגן יותר מהוספת קפיצה נוספת.

תכננו לקראת שכבה שנעלמת

התנהגות בכשל היא המקום שבו הסידורים באמת נבדלים, והיא תכונת תצורה ולא תכונה של אחד הכלים. אם ה-VPN נופל בזמן ש-Tor מוגדר לעבור דרכו, האם Tor נעצר או מתחבר מחדש בשקט במסלול הרגיל? התוצאה השנייה אינה דליפה ליעד, אבל היא חושפת לרשת המקומית ש-Tor נמצא בשימוש, וזה אולי בדיוק מה שהסידור נועד למנוע.

מתג הרג ברמת המכשיר יכול לאכוף חלק מהתשובה בכך שיסרב לתעבורה מחוץ למנהרה, והוא מכסה רק תעבורה שהמכשיר מנתב. יישום שהוחרג מהמנהרה עוקף את ההגנה הזו, וכן פותר שמות שמשמש בעת הקמת החיבור יכול לחשוף שמות גם כשהמטען נשאר בתוך המנהרה. קראו את ההחרגות ואת תצורת הפותר במקום להניח שהמתג מכסה הכול.

הניחו לחבילת הדפדפן

ההגנות של Tor Browser תלויות בכך שהחבילה כולה תתנהג כמתוכנן: תצורת ה-proxy שלו, הבידוד בין אתרים וההגנות מפני טביעות אצבע. הפניית דפדפן רגיל לפורט Tor מקומי, או הוספת הרחבת proxy ל-Tor Browser, משנה הנחות שעליהן הדיזיין נשען. ההנחיה של Tor Project עצמו בנושא שילוב VPN עם Tor מתייחסת לשילוב כתצורה מתקדמת, והזהירות הזו עוסקת באינטראקציות האלה ולא בספק ה-VPN.

לפני שילוב כלים, היו מסוגלים לנסח במשפטים פשוטים את המסלול הרגיל, מסלול הכשל ואת תפקידו של כל מפעיל. אם ההצדקה היחידה היא ששתי שכבות נשמעות בטוחות יותר, אין דרישה שכנגדה מתכננים, ומצב הכשל שנוסף הוא הדבר העיקרי שנוסף.