キルスイッチと Tor Browser の分離：2 つの異なるテスト

キルスイッチとブラウザの ID モデルは、どちらもプライバシー機能として説明されるため混同される。一方はネットワーク層で通信を遮断し、もう一方はブラウジングセッションが何を結び付けられるかを制限する。前者のテストに合格しても後者については何もわからず、Tor Browser 内でページが読み込まれても前者については何もわからない。どちらの制御がどの問いに答えるのかを決めることが重要であり、その選択がどの証拠を数えるかを決める。

二つの境界にある二つの制御

キルスイッチは経路に関する規則であり、トンネルが上がっていないとき、別の道を通るはずだった通信は破棄される。その範囲は実装がどこまで覆うかであり、システム全体、一つのアプリケーション、あるいはクライアントが管理するアドレスファミリーだけのこともある。ブラウザの分離は、Cookie、キャッシュされた状態、フィンガープリント、ログインなど、サイトがセッション全体で訪問者について何を観察できるかに関わる。どちらの仕組みも、まったく異なる対象に作用するため、他方を代われない。

だからこそ、あるマシンが完璧なキルスイッチのテストに合格してもログインを通じて ID を漏らすことがある。逆に、テレメトリーがポリシーの決して覆わなかった経路を通るホスト上の、よく分離されたブラウザでも同じ頻度で起こる。

両方を一つのラベルにまとめると、片側の合格が組全体の代わりになってしまうため、悪い証拠を生む。最初から別の列に保つこと。列の見出しは、遮断されたパケットかセッションの記録か、テストがどちらの成果物を返すべきかも教えてくれる。

障害時の実行が答える狭い問い

制御された障害は、クライアントがテストした通信を、テストしたプラットフォーム上で、テストが続いた間だけ遮断するかどうかを示す。要件が挙げるアドレスファミリー、アプリケーション、ネットワーク遷移は、それぞれが別個の主張なので含めること。IPv4 には効いて IPv6 には効かない遮断は実際の所見であり、有線ネットワークでは効いてモバイルのハンドオーバーでは効かない遮断も同じである。無条件の合格こそ狭いテストが広い仮定になる道なので、結果の横に範囲を書くこと。

負の対照は正の対照と同じくらい重要である。トンネルが上がっている間に同じ要求が成功することを確認し、遮断がポリシーから来たのであって、決して機能しなかった宛先から来たのではないと明らかにする。両方の状態で失敗したテストは何も証明せず、黙って捨てるのではなく記録にそう書く価値がある。

分離はブラウザの性質であり、経路ではない

Tor Browser が公表している設計は、回路とブラウザの状態を一緒に保ち、要求に応じて状態を消去することでリンク可能性を制限しており、プロジェクトはそれがID の管理にとって実際に何を意味するかを文書化している。その設計はサポートされた構成を前提としており、プロキシポートに向けた汎用ブラウザではない。利便性のために追加された拡張は分離の一部を打ち消すことがあり、捕捉されたログインは回路に関係なく後続のすべてを結び付ける。文書化された挙動は直接読めるほど短い。

ブラウザの観察とネットワークの観察は別の問いに答えるので、別々のメモに保つこと。VPN が上がっている間に Tor 経由で読み込まれるページは、プロキシが機能していることを教えるが、VPN の破棄挙動については何も教えない。障害中の遮断パケットは、一時間前に二つのログインが結び付けられたかどうかについて何も言わない。

二つの記録、二つの問い

キルスイッチについては、指定したアプリケーションが障害時に望まない経路から出られるかを問い、自分が所有するログ宛先を備えた制御された障害を持ち込む。ブラウザの分離については、どのアカウント、状態、信号が二つの活動を結び付けうるかを問い、パケットキャプチャではなくワークフローを持ち込む。二つ目のアプリケーションが重要なら、範囲はベンダーが示唆するよりアプリケーション単位であることが多いため、そのアプリケーションを別にテストすること。二つの異なる問いは二つの異なる成果物と一つの正直な報告を生む。

テストの前に、通常の経路とトンネル障害後の経路を、範囲内のすべてのアプリケーションについて描く。図は、何が覆われていて何が覆われていないかを名指しさせられるため、一つの緑の表示が隠す隙間を明らかにする。システムが健全なうちに、誰も検査を終えたと宣言する圧力を受けていないときに、それを行う。

どちらの制御も他方を証明せず、組み合わせた構成が両方の性質を主張するには両方の記録が必要である。一つの緑の表示から両方を主張することこそ、この組み合わせが防ぐべき失敗である。