Tor로 로그인하면 사이트는 당신이 누구인지 알 뿐, 어디 있는지는 모릅니다

출구 주소는 바뀌지만 계정 이름은 그대로이고, 사이트는 그 계정의 프로필을 수년간 쌓아 왔습니다. Tor로 로그인하면 평소의 네트워크 위치라는 신호 하나가 빠질 뿐 나머지 그림은 그대로 남습니다. 그것도 나름의 값어치는 있지만, 방금 인증한 서비스에 대한 익명성은 아닙니다. 이 구분은 말하기는 쉽고 압박 속에서는 잊기 쉽습니다.

로그인 자체가 드러내는 것

성공한 로그인은 이 세션이 그 계정의 것이라는 의도적인 선언입니다. 서비스 입장에서 그 뒤의 모든 것은 계정에 귀속될 수 있으며, 방문한 페이지, 보낸 메시지, 계정이 나타나는 하루 중 시각까지 포함됩니다.

Tor는 목적지가 당신의 네트워크 경로에 대해 관찰할 수 있는 것을 바꿔, 당신의 주소 대신 출구 릴레이를 보게 합니다. 인증으로 사이트에 말한 내용을 바꾸지는 않으며, 같은 계정의 두 로그인을 무관하게 만들지도 않습니다.

계정 안의 링크도 같은 방식으로 작동합니다. 복구 주소, 전화번호, 저장된 결제 수단, 다른 곳에서 재사용한 별명은 패킷이 어떤 경로를 지났든 로그인한 신원에 붙습니다.

새 회선은 새 계정이 아닙니다

Tor Browser는 사람들이 하나로 여기는 두 가지 다른 동작을 제공합니다. 사이트용 새 회선은 그 목적지에 쓰이는 릴레이 경로를 바꾸고 브라우저의 사적 상태는 건드리지 않습니다. 새 신원은 더 넓어서 브라우저 상태를 지우고 활동을 닫고 처음부터 시작하며, 이는 다른 결과를 낳는 다른 작업입니다.

두 동작 중 어느 것도 상대편에게 무엇을 잊으라고 요구하지 않습니다. 이미 발급된 쿠키, 사이트가 보관하는 세션 토큰, 로그인 때 수집된 기기 지문은 경로가 바뀐 뒤에도 같은 방문자를 설명합니다.

그래서 새 출구 주소는 계정을 아는 서비스에게 새 사람으로 읽히지 않습니다. 같은 계정이 다른 곳에서 도착한 것으로 읽히며, 그것이 바로 사기 방지 시스템이 알아차리도록 만들어진 패턴입니다. 그 패턴은 사이트의 결함이 아닙니다. 사이트가 로그인으로 당신이 요청한 일을 하고 있는 것이며, 놀라움은 반대를 기대할 때만 생깁니다.

출구가 여전히 보는 것

출구 릴레이는 목적지가 HTTPS를 쓰지 않는 한 당신의 트래픽을 평문으로 나르므로, 이 경로에서는 브라우저의 인증서 검사가 덜이 아니라 더 중요합니다. 악의적인 출구는 암호화되지 않은 트래픽에 현실적인 적이며, 로그인 페이지는 그를 만나기에 최악의 장소입니다.

HTTPS는 내용을 출구로부터 보호합니다 그리고 인증하기로 고른 계정에 대해서는 아무것도 하지 않습니다. 두 보호는 서로 다른 관찰자를 덮으며, 어느 것도 다른 것을 대신하지 않습니다.

계정 확인을 예상하세요

서비스는 Tor 출구에 대해 흔히 캡차나 이메일 확인, 일시적 보류 같은 추가 확인으로 응답합니다. 이는 공유되었고 이전에 남용된 출처 범위에 대한 정상적인 반응이며, 세션이 침해되었다는 증거가 아닙니다.

유용한 대응은 지원되는 확인을 한 번 완료하는 것입니다. 안내가 사라질 때까지 회선을 반복해서 바꾸는 것은 계정에 대해 아무것도 가르쳐 주지 않으며 원래 안내보다 나빠 보일 수 있습니다. 지키고 있던 유일한 것도 낭비합니다.

확인을 완료할 수 없다면 그것은 서비스 정책에 관한 정보이며, 내려야 할 결정은 터널 없이 그 계정에 도달할 가치가 있는지입니다. 두 선택 모두 정당하며, 장애물을 결함이라고 우기는 것은 정당하지 않습니다.

실제로 어떤 목표를 가졌는지 정하세요

사람들이 혼동하는 두 목표가 있는데, 알려진 신원으로 가는 경로를 보호하는 것과 별개의 활동이 연결되지 않게 하는 것입니다. Tor는 첫째에 잘 맞습니다. 둘째는 아예 로그인하지 않거나, 그 목적을 위해 만들고 첫째와 절대 섞지 않은 신원으로만 로그인해야 합니다.

도구를 고르기 전에 목표를 이름 붙이세요. 계정을 써야 한다면 그 구성의 정직한 설명은 알려진 계정으로 가는 사적 경로이며, 프라이버시 주장은 그것이 실제로 보호하는 것에 한정되어야 합니다.