Prijava preko Tora govori stranici tko ste, a ne gdje ste

Adresa izlaza se mijenja, ime računa ne, a stranica godinama gradi profil tog računa. Prijava preko Tora uklanja jedan signal, vašu uobičajenu mrežnu lokaciju, i ostavlja ostatak slike netaknutim. To još uvijek nešto vrijedi i nije anonimnost od usluge kojoj ste se upravo autentificirali. Razliku je lako izreći i lako zaboraviti pod pritiskom.

Što sama prijava otkriva

Uspješna prijava namjerna je izjava da ova sesija pripada tom računu. Sa strane usluge, sve nakon nje može se pripisati računu, uključujući posjećene stranice, poslane poruke i doba dana kada se račun pojavljuje.

Tor mijenja što odredište može primijetiti o vašem mrežnom putu: umjesto vaše adrese vidi izlazni relej. On ne mijenja ono što ste rekli stranici autentifikacijom i ne čini dvije prijave s istog računa nepovezanima.

Veze unutar računa rade na isti način. Adresa za oporavak, telefonski broj, spremljeni način plaćanja ili nadimak korišten negdje drugdje, sve se veže uz identitet s kojim ste se prijavili, bez obzira na putanju kojom su paketi išli.

Novi krug nije novi račun

Tor Browser nudi dvije različite radnje koje ljudi doživljavaju kao jednu. Novi krug za stranicu mijenja putanju releja za to odredište i ne dira privatno stanje preglednika. Novi identitet je širi: briše stanje preglednika, zatvara aktivnost i počinje iznova, što je druga operacija s drukčijim posljedicama.

Nijedna radnja ne traži od druge strane da bilo što zaboravi. Već izdani kolačići, sesijski token koji stranica drži ili otisak uređaja prikupljen pri prijavi i dalje opisuju istog posjetitelja nakon promjene putanje.

Svježa adresa izlaza dakle ne čita se kao nova osoba usluzi koja poznaje račun. Čita se kao isti račun koji dolazi s drugog mjesta, a to je upravo obrazac koji su sustavi za sprječavanje prijevara napravljeni da primijete. Taj obrazac nije greška na stranici. To stranica radi posao koji ste od nje tražili prijavom, a jedina iznenađenja dolaze iz očekivanja suprotnog.

Što izlaz još vidi

Izlazni relej prenosi vaš promet otvoreno, osim ako odredište koristi HTTPS, zato su provjere certifikata u pregledniku na ovom putu važnije, a ne manje važne. Zlonamjerni izlaz realan je protivnik za nešifrirani promet, a stranica za prijavu najgore je mjesto da ga sretnete.

HTTPS štiti sadržaj od izlaza i ne čini ništa za račun s kojim ste odlučili autentificirati se. Dvije zaštite pokrivaju različite promatrače i nijedna ne zamjenjuje drugu.

Očekujte provjere računa

Usluge rutinski odgovaraju na izlaz Tora dodatnom provjerom: captchom, potvrdom e-pošte ili privremenim zadržavanjem. To je normalna reakcija na dijeljeni i ranije zloupotrijebljen raspon izvora, a ne dokaz da je sesija kompromitirana.

Koristan odgovor je jednom dovršiti podržanu provjeru. Neprestano mijenjanje krugova dok upit ne nestane ne uči vas ništa o računu i može izgledati gore od prvotnog upita. Ono troši i jedinu stvar koju ste štitili.

Ako se provjera ne može dovršiti, to je informacija o politici usluge, a odluka koju treba donijeti jest vrijedi li račun dosegnuti bez tunela. Obje su opcije legitimne; pretvarati se da je prepreka greška nije.

Odredite koji cilj zaista imate

Postoje dva cilja koja ljudi miješaju: zaštita putanje do poznatog identiteta i sprječavanje spajanja odvojenih aktivnosti. Tor dobro služi prvome. Drugi zahtijeva da se uopće ne prijavljujete ili da se prijavljujete samo identitetom stvorenim za tu svrhu i nikada pomiješanim s prvim.

Imenujte cilj prije nego što odaberete alat. Ako se račun mora koristiti, iskren opis postavke jest privatna putanja do poznatog računa, a tvrdnja o privatnosti treba biti ograničena na ono što ona zaista štiti.