Nødstopp mot Tor Browser-isolasjon: to forskjellige tester

Nødstopp og nettleserens identitetsmodeller blandes sammen fordi begge beskrives som personvernfunksjoner. Den ene blokkerer trafikk på nettverkslaget, og den andre begrenser hva en nettleserøkt kan knytte sammen. Å bestå en test av den første sier ingenting om den andre, og en side som lastes i Tor Browser sier ingenting om den første. Beslutningen er hvilken kontroll som svarer på hvilket spørsmål, fordi dette valget avgjør hvilke bevis som teller.

To kontroller ved to grenser

En nødstopp er en regel om ruter: når tunnelen ikke er oppe, slippes trafikk som ellers ville tatt en annen vei, ikke gjennom. Omfanget er det implementasjonen dekker, som kan være hele systemet, én applikasjon eller bare de adressefamiliene klienten styrer. Nettleserisolasjon handler om hva et nettsted kan observere om en besøkende gjennom en økt: informasjonskapsler, bufret tilstand, fingeravtrykk, pålogginger. Ingen av mekanismene kan erstatte den andre, fordi de virker på helt forskjellige objekter.

Derfor kan en maskin bestå en perfekt nødstopptest og likevel lekke identitet gjennom en pålogging. Det motsatte skjer like ofte: en godt isolert nettleser på en vert der telemetrien tar en vei som policyen aldri dekket.

Å legge begge under én etikett er det som gir dårlige bevis, fordi et bestått resultat på én side da står i stedet for paret. Hold dem i separate kolonner fra starten. Kolonneoverskriften forteller deg også hvilket artefakt testen skylder deg: en blokkert pakke eller en øktoppføring.

Utfallskjøringen svarer på et snevrere spørsmål

Et kontrollert utfall viser om klienten blokkerer trafikken du testet, på plattformen du testet, så lenge testen varte. Ta med adressefamiliene, applikasjonene og nettverksovergangene kravet nevner, fordi hver av dem er en egen påstand. En blokkering som gjelder for IPv4 og ikke for IPv6, er et reelt funn, og det samme er en blokkering som gjelder på et kablet nett, men ikke ved en mobil overlevering. Skriv omfanget ved siden av resultatet, fordi et ubetinget bestått resultat er hvordan en smal test blir en bred antakelse.

Den negative kontrollen betyr like mye som den positive. Bekreft at den samme forespørselen lykkes mens tunnelen er oppe, slik at det er klart at blokkeringen kom fra policyen og ikke fra en destinasjon som aldri virket. En test som feilet i begge tilstander, beviser ingenting, og det er verdt å si det i oppføringen i stedet for å kaste den stille bort.

Isolasjon er en nettleseregenskap, ikke en rute

Den erklærte utformingen av Tor Browser begrenser sammenkobling ved å holde krets- og nettlesertilstand sammen og ved å slette tilstand på forespørsel, og prosjektet dokumenterer hva det betyr i praksis for håndtering av identiteter. Denne utformingen forutsetter den støttede konfigurasjonen, ikke en generisk nettleser pekt mot en proxyport. Utvidelser lagt til for bekvemmelighet kan oppheve deler av isolasjonen, og en fanget pålogging knytter alt som følger sammen uavhengig av kretsen. Den dokumenterte atferden er kort nok til å leses direkte.

Nettleserobservasjoner og nettverksobservasjoner svarer på forskjellige spørsmål, så hold dem i separate notater. En side som lastes via Tor mens VPN-en er oppe, forteller deg at proxyen virker, og ingenting om VPN-ens droppatferd. En blokkert pakke under et utfall sier ingenting om hvorvidt to pålogginger var sammenkoblbare en time tidligere.

To oppføringer, to spørsmål

For nødstoppen, spør om en navngitt applikasjon kan forlate systemet via en uønsket rute under en feil, og ta med et kontrollert utfall med et loggmål du eier. For nettleserisolasjonen, spør hvilke kontoer, tilstand og signaler som kan knytte to aktiviteter sammen, og ta med en arbeidsflyt i stedet for en pakkefangst. Hvis en annen applikasjon betyr noe, test den applikasjonen separat, fordi omfanget oftere er per applikasjon enn leverandører antyder. To forskjellige spørsmål gir to forskjellige artefakter og én ærlig rapport.

Tegn begge veier før testing: den normale ruten og ruten etter en tunnelfeil, for hver applikasjon i omfanget. En tegning avdekker gapet som én grønn indikator skjuler, fordi den tvinger deg til å navngi hva som er dekket og hva som ikke er det. Gjør det mens systemene er sunne, når ingen er under press for å erklære kontrollen fullført.

Ingen av kontrollene sertifiserer den andre, og et kombinert oppsett trenger begge oppføringene før det kan hevde begge egenskapene. Å hevde begge ut fra én grønn indikator er nøyaktig feilen dette paret skal forhindre.