„Tor“ išėjimo relė prieš VPN išėjimo serverį: ką žino kiekvienas
„Tor“ išėjimo relė ir VPN išėjimo serveris abu rodo vieną viešą adresą, bet žinias dalija skirtingai. Palyginkite matomumą, aprėptį ir prievadų politiką.
Abi konstrukcijos slepia jūsų adresą už vieno viešo IP, o svetainė, kuri atspausdina matomą adresą, negali jų atskirti. Skirtumas yra tai, kas kelyje ką sužino, kiek srauto aprėpta ir kuriems prievadams leidžiama veikti. „Tor“ išėjimo relė yra paskutinis trijų relių grandinės šuolis; VPN išėjimo serveris užbaigia jūsų tunelį ir pats atidaro išeinantį ryšį. Štai kaip aš nusprendžiu, kurio reikia užduočiai, ir ką patikrinu prieš manydamas, kad vienas elgiasi kaip kitas.
Du keliai, pasibaigiantys vienu adresu
„Tor“ stato grandinę per sargą, vidurinę relę ir išėjimą bei šifruoja naudingąją apkrovą sluoksniais, kad kiekviena relė nuluptų tik savo sluoksnį. Išėjimas užmezga įprastą TCP ryšį su paskirties vieta, todėl paskirties vieta mato išėjimo adresą. Jūsų klientas niekada nekalba tiesiogiai su paskirties vieta, ir sargas jos taip pat nemato.
VPN yra vienas tunelis į vieną galinį tašką. Operatoriaus serveris nuima tunelį ir atidaro išeinantį ryšį, todėl paskirties vieta taip pat mato vieną adresą, šį kartą operatoriaus. Stebimas rezultatas tas pats; žinios ne. Testas, atspausdinantis IP, atsako, kurioje sistemoje esate, ir nieko nesako apie pasitikėjimo paskirstymą, kuris iš tikrųjų skiriasi.
Kas galiausiai ką žino
VPN galinis taškas vienoje vietoje mato šaltinio adresą, paskirties vietą, laiką ir apimtį. Ši koncentracija ir yra konstrukcija: vienas operatorius, vienas žurnalų paviršius, viena vieta šaukimui ar neteisingai konfigūracijai. Viskas, ką gaunate, kyla iš pasitikėjimo ta šalimi ir galinio taško išėjimo politika.
„Tor“ dalija tas žinias. Sargas žino jūsų adresą, bet ne paskirties vietą; išėjimas žino paskirties vietą, bet ne jūsų adresą. Relė neturėtų sužinoti abiejų. Tai struktūrinė savybė, o ne pažadas prieš pasaulinį stebėtoją, laikus koreliuojančią relę ar pažeistą galinį tašką, todėl traktuokite ją kaip kitokį tos pačios rizikos paskirstymą, o ne kaip anonimiškumą, kuris negali nepavykti.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Aprėptis yra naršyklės arba maršruto sprendimas
„Tor“ naršyklė maršrutizuoja savo srautą ir prideda apsaugas, kurių įprastas VPN klientas neatkartoja: atsparumą pirštų atspaudams, pirmosios šalies izoliaciją, fiksuotą lango dydį ir veiksmą „Nauja tapatybė“, kuris išmeta sesijos būseną. Kitos programos nenaudoja šios grandinės, nebent yra tam sukonfigūruotos, o visos sistemos „Tor“ sąranka yra atskiras projektas nuo naršyklės įdiegimo.
VPN turi priešingą formą. Aprėptis seka maršrutų lentele, todėl WireGuard profilis su AllowedIPs = 0.0.0.0/0 pagauna viską, o padalinto tunelio sąrašas pagauna tik jo nurodytus priešdėlius. Būtent šiame mechanizme gyvena ir nutekėjimai: DNS užklausos, IPv6 ir WebRTC kiekvienas gali pasirinkti kelią, kurio maršrutų politika neapėmė. Tikrinkite programos, kuri nepavyko, viduje, o ne naršyklės skirtuke, kuris galbūt naudoja kitą sąsają.
Prievadų politika, blokuojamos paskirties vietos ir HTTPS
Išėjimo relė gali atsisakyti išeinančių prievadų, o numatytoji politika atmeta piktnaudžiavimui linkusių prievadų sąrašą, tarp jų SMTP 25 prievadą. Todėl pašto klientas, sukonfigūruotas per „Tor“, nepavyksta išėjime, o tai atrodo kaip tinklo gedimas ir nėra. Operatoriai, kurie valdo relę, tai nustato aiškiai:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Paskirties vietos taip pat blokuoja, ir jos blokuoja dvi sistemas skirtingai. „Tor“ išėjimo adresai skelbiami, todėl svetainė gali atmesti visą sąrašą; VPN galiniai taškai yra duomenų centrų diapazonuose, kurie atmetami taip pat lengvai. Kai puslapis nepavyksta, prieš ką nors keisdami atskirkite tris kandidatus: išėjimo arba išeinančią politiką, šaltinį atmetančią paskirties vietą arba užgrobimo portalą, pagrobiantį pirmąją užklausą.
Nė viena sistema nepakeičia transporto šifravimo. Paprastas HTTP yra skaitomas ir išėjimo relėje, ir VPN galiniame taške, todėl palikite HTTPS įjungtą ir perskaitykite sertifikato įspėjimą, o ne atmesti jį. Du patikrinimai greitai išsprendžia maršruto klausimą: curl -s https://check.torproject.org/api/ip grąžina IsTor, kai užklausa ėjo per grandinę, o curl -s https://ifconfig.me rodo išeinantį adresą, kurį pateiktų VPN. Paleidus abu, sužinosite, kurį kelią iš tikrųjų naudoja apvalkalas.
Nenaudokite vieno kaip kito
Išėjimo relės adresas nėra VPN profilis. Nukreipus OpenVPN arba WireGuard klientą į relę 443 prievade, tunelis nesukuriamas, nes ten neklauso jokia VPN paslauga; relė yra šuolis kieno nors kito grandinėje. Priešinga kryptimi VPN galinis taškas nėra „Tor“ įėjimo taškas, o „Tor“ naršyklės tilto nustatymai nėra vieta, kur įklijuoti komercinio VPN pagrindinio kompiuterio vardą. Jei „Tor“ veikiate per VPN, sargas mato VPN adresą vietoj jūsų, o tai pakeičia paskirstymą nesujungus dviejų vaidmenų.
Prieš rinkdamiesi atsakykite į keturis klausimus iš eilės: kas valdo galinį tašką ir ką jis saugo, ką įrankis apima šiame įrenginyje, kuriuos prievadus ir paskirties vietas leidžia išėjimo politika ir ką programa prideda už tinklo kelio. Užduočiai, kuriai daugeliui programų reikia įprastos tinklo prieigos, reikia VPN. Užduočiai, kuriai reikia naršyklės lygio apsaugų ir grandinės modelio, reikia „Tor“ naršyklės, palaikomos naujausios. Jei atsakymas „abi“, paleiskite juos apgalvota tvarka ir užsirašykite, kurį adresą mato kiekviena pusė.