Un VPN davanti a Tor rende più difficile sorvegliarti?

Aggiungere un altro segmento cifrato a un percorso non rimuove gli osservatori; li sposta, e a volte ne aggiunge uno. L'esercizio utile è disegnare il percorso ed etichettare chi vede cosa a ogni passo, perché una VPN davanti a Tor e una VPN raggiunta attraverso Tor danno risposte opposte a quasi ogni domanda che valga la pena porsi. Nessuna delle due disposizioni sconfigge un endpoint compromesso, e nessuna ripara un account che nomina l'utente. Percorrere il percorso in ordine e poi chiedersi cosa si rompe quando uno strato scompare trasforma uno slogan in una decisione.

Percorri il percorso e nomina ogni osservatore

Inizia dal caso ordinario di Tor ed etichetta ogni salto. La rete locale e il provider internet vedono una connessione a un punto d'ingresso Tor, insieme alla sua dimensione e alla sua temporizzazione. La guardia d'ingresso vede l'indirizzo del client, ed è per questo che la guardia è una relazione di lunga durata e non una scelta casuale. Il nodo d'uscita vede la destinazione e il testo in chiaro di tutto ciò che non è cifrato end-to-end, mentre la destinazione vede un indirizzo d'uscita a cui non è associato alcun indirizzo del client.

Annota quelle etichette prima di aggiungere qualsiasi cosa. Il diagramma è l'argomento, ed è facile da verificare.

Due ordini producono osservazioni diverse

Una VPN posta davanti a Tor significa che il traffico lascia il dispositivo verso il fornitore VPN, esce da quel fornitore e solo allora raggiunge un ingresso Tor. La rete locale non vede più affatto Tor, ed è esattamente questo lo scopo quando una rete lo blocca o lo sorveglia. La guardia d'ingresso ora vede l'indirizzo della VPN invece di quello dell'utente, e il fornitore VPN vede che un cliente specifico si connette a Tor con un certo schema temporale. Quel fornitore diventa una parte nuova con un'osservazione preziosa, e la sua politica di registrazione ora fa parte del modello di minaccia invece di restarne fuori.

Raggiungere una VPN attraverso Tor inverte l'ordine e inverte anche ciò che viene esposto: la destinazione vede l'indirizzo della VPN, l'uscita Tor non vede più la destinazione, e il fornitore VPN vede arrivare traffico Tor invece dell'indirizzo di casa di un cliente. Questo grava anche la connessione con due strati di latenza e richiede un supporto client che molte applicazioni commerciali non offrono.

Scegliere tra le due è una questione di quale osservatore conta di più, non di quale suona più sicuro. Un utente che nasconde l'uso di Tor a una rete locale vuole il primo ordine; un utente che cerca di impedire a una destinazione di apprendere qualcosa che gli sia attribuibile ha bisogno di un'altra analisi, e nessuno dei due ordini nasconde un nome di account.

Cosa identifica ancora la sessione

Gli osservatori a livello di indirizzo sono solo una parte del quadro, e spesso non quella decisiva. Un account con sessione attiva lega l'attività a un'identità indipendentemente da quale indirizzo d'uscita abbia portato il pacchetto, e un record di pagamento che il servizio può collegare a una persona fa lo stesso. Anche lo stato del browser contribuisce: un cookie persistente, un accesso salvato o un'estensione identificante possono seguire un utente attraverso circuiti progettati per non essere collegabili.

Il contenuto inviato a un sito è il terzo segnale. Un documento con metadati, un nome digitato in un modulo o uno stile di scrittura unico sopravvivono a qualunque numero di strati di cifratura, e nessuno degli strumenti che li precedono è progettato per toccarlo. Tenere un elenco onesto di questi identificatori protegge più che aggiungere un altro salto.

Pianifica uno strato che scompare

Il comportamento in caso di guasto è dove le disposizioni differiscono davvero, ed è una proprietà di configurazione, non una funzione di nessuno dei due strumenti. Se la VPN cade mentre Tor è configurato per passarvi, Tor si ferma, o si riconnette silenziosamente lungo il percorso ordinario? Il secondo esito non è una fuga verso la destinazione, ma rivela alla rete locale che Tor è in uso, che forse era esattamente ciò che la disposizione doveva impedire.

Un interruttore di emergenza a livello di dispositivo può imporre parte della risposta rifiutando il traffico fuori dal tunnel, e copre solo il traffico che il dispositivo instrada. Un'applicazione esclusa dal tunnel aggira quella protezione, e un resolver usato durante la configurazione della connessione può rivelare nomi anche quando il carico utile resta dentro il tunnel. Leggi le esclusioni e la configurazione del resolver invece di supporre che l'interruttore copra tutto.

Lascia in pace il pacchetto del browser

Le protezioni di Tor Browser dipendono dal fatto che l'intero pacchetto si comporti come previsto: la sua configurazione proxy, l'isolamento tra siti e le difese contro le impronte digitali. Puntare un browser ordinario su una porta Tor locale, o aggiungere un'estensione proxy a Tor Browser, cambia presupposti su cui il design si basa. La guida dello stesso Tor Project su combinare una VPN con Tor tratta la combinazione come una configurazione avanzata, e quella cautela riguarda queste interazioni e non il fornitore della VPN.

Prima di combinare strumenti, sai esporre in frasi semplici il percorso normale, il percorso di guasto e il ruolo di ogni operatore. Se l'unica giustificazione è che due strati suonano più sicuri, non c'è alcun requisito contro cui progettare, e la modalità di guasto aggiunta è la cosa principale che è stata aggiunta.