Tor 経由のログインがサイトに伝えるのは、あなたが誰かであり、どこにいるかではない

出口のアドレスは変わるが、アカウント名は変わらず、サイトは何年もかけてそのアカウントのプロフィールを築いてきた。Tor 経由のログインは、いつものネットワーク上の位置という一つの信号を取り除くだけで、残りの像はそのまま残る。それにも価値はあるが、たった今認証したサービスに対する匿名性ではない。この区別は口にするのは簡単で、圧力の下では忘れやすい。

ログインそのものが明かすもの

ログインの成功は、このセッションがそのアカウントのものであるという意図的な宣言だ。サービス側から見れば、その後のすべてはアカウントに帰属でき、閲覧したページ、送ったメッセージ、アカウントが現れる時刻まで含まれる。

Tor は、宛先があなたのネットワーク経路について観察できるものを変える。あなたのアドレスの代わりに出口リレーが見えるのだが、認証によってサイトに伝えた内容は変わらず、同じアカウントからの二回のログインが無関係になるわけでもない。

アカウント内のリンクも同じように働く。復旧用アドレス、電話番号、保存された支払い方法、他所で使い回したニックネームは、パケットがどの経路を通ったかに関係なく、ログインに使った身元に結びつく。

新しい回線は新しいアカウントではない

Tor Browser は、人が一つとみなしがちな二つの異なる操作を用意している。サイト用の新しい回線は、その宛先に使うリレーの経路を変えるだけで、ブラウザの私的な状態には触れない。新しい ID はもっと広く、ブラウザの状態を消し、活動を閉じ、最初からやり直すのであり、これは別の結果を伴う別の操作だ。

どちらの操作も、相手側に何かを忘れさせようとはしない。すでに発行された Cookie、サイトが保持するセッショントークン、ログイン時に集められた端末の指紋は、経路が変わった後も同じ訪問者を表している。

だから新しい出口アドレスは、アカウントを知るサービスにとって新しい人物としては読まれない。同じアカウントが別の場所から来た、と読まれるのであり、それはまさに不正対策システムが気づくように作られている型だ。その型はサイトの不具合ではない。ログインによってあなたがサイトに頼んだ仕事を、サイトがしているだけであり、驚きは逆を期待するところからしか生まれない。

出口がなお見るもの

出口リレーは、宛先が HTTPS を使わない限り、あなたの通信を平文で運ぶからこそ、この経路ではブラウザの証明書確認がより重要なのであって、軽くなるのではない。悪意ある出口は暗号化されていない通信にとって現実的な敵であり、ログインページはそれに出会う最悪の場所だ。

HTTPS は内容を出口から守る が、認証を選んだアカウントについては何もしない。二つの保護は異なる観察者を覆い、どちらも他方を代わりにはしない。

アカウントの確認を想定しよう

サービスは Tor の出口に対して、たいていキャプチャやメールでの確認、一時的な保留といった追加の確認で応じる。これは共有され以前に悪用された送信元範囲への普通の反応であり、セッションが侵害された証拠ではない。

役に立つ対応は、用意された確認を一度だけ済ませることだ。促しが消えるまで回線を何度も切り替えても、アカウントについて何も学べず、元の促しより悪く見えることがある。守っていた唯一のものも無駄にする。

確認を完了できないなら、それはサービスの方針についての情報であり、下すべき判断は、トンネルなしでそのアカウントに届く価値があるかどうかだ。どちらの選択も正当であり、障害を不具合だと言い張るのは正当ではない。

実際にどちらの目的を持っているのかを決めよう

人が混同しがちな目的は二つあり、既知の身元への経路を守ることと、別々の活動が結びつけられないようにすることだ。Tor は前者によく役立つ。後者には、まったくログインしないか、その目的のために作られ最初の身元と決して混ぜない身元でのみログインすることが要る。

道具を選ぶ前に目的を名づけよう。アカウントを使わざるを得ないなら、その構成の正直な説明は既知のアカウントへの私的な経路であり、プライバシーの主張はそれが実際に守るものに限るべきだ。