VPNを二つ重ねてもTorではない：連鎖ができることとできないこと

VPNクライアントを同時に二つ動かすと、足し算でプライバシーが増えるように見えるが、そうではない。連鎖は固定された二社の運用者によるトンネルの中にトンネルを作るのに対し、Torはプロトコルが選ぶリレーにまたがる回線を構築し、その回線を前提に設計されたブラウザと組み合わせる。違いは、誰が何を突き合わせられるか、そしてブラウザがあなたの識別情報をどれだけ自発的に差し出すかに現れる。層の数ではなく、これらの性質から出発すべきだ。

連鎖が増やすのはホップであり、回線ではない

入れ子の構成は一度だけ設定し、内側のクライアントは外側のトンネルを通って自らのサーバーに到達し、そのサーバーが最終的な通信を転送する。経路はあなたが組んだ長さのままで、プロファイルを変えるまでそのまま残る。Torは回線ごとにリレーを選び、独自の予定で入れ替え、利用者が経路を選ぶことには依存しない。

その固定された構造が、あらゆる目的で自動的に劣るわけではない。予測できる経路は監査しやすく、動かし続けやすい。単に別の仕組みであり、二ホップのTorと呼んでも当事者の数も選び方も説明できない。

信頼の問題は移動するが、消えはしない

二社の提供者を使う場合、外側はあなたが内側に接続していることと通過する通信量を見て、内側は宛先を見る。どちらも単独では全体像を見ないが、それは事実だ。しかし両者は記録を残し、一方から他方への要請でそれらは結び付けられうる。

両方の段階が同じ会社に属するなら、二つのサーバー名は二つの独立した組織を作らず、分離は見かけだけになる。運用者を別々の当事者として数える前に、所有関係を確認すること。

Torの保証は、リレーの数と同じくらい回線の形から来ている。独立に運用される三つのリレーを、料金を払う二つのアカウントに置き換えても等価な構成にはならず、パケット数が似ていても同じことだ。

ブラウザは依然としてあなたを識別する

Cookie、ログイン、フォント、画面サイズ、タイムゾーン、スクリプトが実行される順序は、どんなに多くのトンネルを通っていても宛先から見える。Tor Browserはこれらの信号に意図的に取り組み、指紋対策と状態の分離を既定にしている。通常のブラウザは、パケットを何が運んでいても普段の振る舞いを保つ。

これが連鎖で直せない部分だ。もし懸念が、サイトが訪問をまたいで自分を認識することなら、経路よりもブラウザのほうが重要だ。懸念が、接続網が宛先を見ることなら、経路のほうが重要だ。二つの問いを混ぜると、どちらも解決しない助言になる。

両方のクライアントを動かすと何が壊れるか

オペレーティングシステムのVPN APIは、たいてい一度に一つのトンネルしか有効にできず、二つ目のクライアントは内側に入り込むのではなく、一つ目を押しのけてしまうことがある。その結果、既定経路の取り合い、DNSの設定、キルスイッチが重なり、片方のトンネルが使われないか両方が遮断された状態になり、利用者には「VPNはオンなのに何も読み込まれない」と映る。

アイコン二つを信じるのではなく、保護された宛先への経路、使用中のDNSリゾルバ、どちらかの層が落ちたときの挙動によって意図した入れ子を確認すること。経路の再帰を消すために証明書の検証を切ってはならない。

追加の層は、たとえば接続網から宛先を隠すといった明示した要件のために選ぶ。暗号化された接続を数えることは匿名性の尺度ではなく、ログインしたときにサイトが見るものを変えもしない。