Kill switch contro isolamento di Tor Browser: due test diversi

I kill switch e i modelli di identità dei browser vengono confusi perché entrambi sono descritti come funzioni di privacy. Uno blocca il traffico a livello di rete, e l’altro limita ciò che una sessione di navigazione può collegare tra loro. Superare un test del primo non dice nulla sul secondo, e una pagina che si carica dentro Tor Browser non dice nulla sul primo. La decisione è quale controllo risponde a quale domanda, perché quella scelta determina quali prove contano.

Due controlli a due confini

Un kill switch è una regola sulle rotte: quando il tunnel non è attivo, il traffico che altrimenti prenderebbe un percorso diverso viene scartato. La sua portata è ciò che copre l’implementazione, che può essere l’intero sistema, una singola applicazione o solo le famiglie di indirizzi gestite dal client. L’isolamento del browser riguarda ciò che un sito può osservare di un visitatore lungo una sessione: cookie, stato in cache, impronte digitali, accessi. Nessuno dei due meccanismi può sostituire l’altro, perché agiscono su oggetti completamente diversi.

Per questo una macchina può superare un test perfetto del kill switch e comunque far trapelare l’identità tramite un accesso. Il contrario accade altrettanto spesso: un browser ben isolato su un host la cui telemetria prende un percorso che la policy non ha mai coperto.

Archiviare entrambi sotto un’unica etichetta è ciò che produce prove cattive, perché un superamento da un lato finisce per sostituire la coppia. Teneteli in colonne separate fin dall’inizio. L’intestazione della colonna vi dice anche quale artefatto il test vi deve: un pacchetto bloccato o un record di sessione.

Il test di interruzione risponde a una domanda più stretta

Un’interruzione controllata mostra se il client blocca il traffico che avete testato, sulla piattaforma che avete testato, per tutta la durata del test. Includete le famiglie di indirizzi, le applicazioni e le transizioni di rete menzionate dal requisito, perché ognuna è un’affermazione separata. Un blocco che vale per IPv4 e non per IPv6 è un riscontro reale, e lo stesso vale per un blocco che vale su una rete cablata ma non durante un passaggio mobile. Scrivete la portata accanto al risultato, perché un superamento senza qualificazioni è il modo in cui un test ristretto diventa un’ipotesi ampia.

Il controllo negativo conta quanto quello positivo. Confermate che la stessa richiesta riesce mentre il tunnel è attivo, così che sia chiaro che il blocco è venuto dalla policy e non da una destinazione che non ha mai funzionato. Un test fallito in entrambi gli stati non dimostra nulla, e vale la pena dirlo nel record invece di scartarlo in silenzio.

L’isolamento è una proprietà del browser, non una rotta

Il design dichiarato di Tor Browser limita la collegabilità tenendo insieme lo stato del circuito e del browser e cancellando lo stato su richiesta, e il progetto documenta cosa significa in pratica per la gestione delle identità. Quel design presuppone la configurazione supportata, non un browser generico puntato a una porta proxy. Le estensioni aggiunte per comodità possono annullare parte dell’isolamento, e un accesso catturato collega tutto ciò che segue indipendentemente dal circuito. Il comportamento documentato è abbastanza breve da leggerlo direttamente.

Le osservazioni del browser e quelle della rete rispondono a domande diverse, quindi tenetele in note separate. Una pagina che si carica via Tor mentre la VPN è attiva vi dice che il proxy funziona e nulla sul comportamento di scarto della VPN. Un pacchetto bloccato durante un’interruzione non dice nulla sul fatto che due accessi fossero collegabili un’ora prima.

Due record, due domande

Per il kill switch, chiedete se un’applicazione nominata può uscire da una rotta indesiderata durante un guasto, e portate un’interruzione controllata con una destinazione di registrazione che possedete. Per l’isolamento del browser, chiedete quali account, stato e segnali potrebbero collegare due attività, e portate un flusso di lavoro invece di una cattura di pacchetti. Se una seconda applicazione conta, testatela separatamente, perché la portata è più spesso per applicazione di quanto i fornitori suggeriscano. Due domande diverse producono due artefatti diversi e un rapporto onesto.

Disegnate entrambi i percorsi prima di testare: la rotta normale e la rotta dopo un guasto del tunnel, per ogni applicazione nell’ambito. Un disegno espone la lacuna che un solo indicatore verde nasconde, perché vi obbliga a nominare ciò che è coperto e ciò che non lo è. Fatelo mentre i sistemi sono sani, quando nessuno è sotto pressione per dichiarare il controllo concluso.

Nessuno dei due controlli certifica l’altro, e una configurazione combinata ha bisogno di entrambi i record prima di poter rivendicare entrambe le proprietà. Rivendicare entrambe da un solo indicatore verde è esattamente il guasto che questo accoppiamento deve prevenire.