Noodschakelaar tegenover Tor Browser-isolatie: twee verschillende tests

Noodschakelaars en identiteitsmodellen van browsers worden verward omdat beide als privacyfuncties worden beschreven. De ene blokkeert verkeer op de netwerklaag, en de andere beperkt wat een browsersessie aan elkaar kan koppelen. Een test van de eerste doorstaan zegt niets over de tweede, en een pagina die in Tor Browser laadt zegt niets over de eerste. De beslissing is welke controle welke vraag beantwoordt, want die keuze bepaalt welk bewijs telt.

Twee controles op twee grenzen

Een noodschakelaar is een regel over routes: als de tunnel niet omhoog is, wordt verkeer dat anders een andere weg zou nemen, weggegooid. De reikwijdte is wat de implementatie dekt, wat het hele systeem, één toepassing of alleen de adresfamilies kan zijn die de client beheert. Browserisolatie gaat over wat een site over een bezoeker gedurende een sessie kan waarnemen: cookies, gecachte status, vingerafdrukken, aanmeldingen. Geen van beide mechanismen kan de ander vervangen, omdat ze op volledig verschillende objecten werken.

Daarom kan een machine een perfecte noodschakelaartest doorstaan en toch identiteit lekken via een aanmelding. Het omgekeerde gebeurt net zo vaak: een goed geïsoleerde browser op een host waarvan de telemetrie een pad neemt dat het beleid nooit heeft gedekt.

Beide onder één label onderbrengen is wat slecht bewijs oplevert, omdat een geslaagde test aan één kant dan voor het paar instaat. Houd ze vanaf het begin in aparte kolommen. De kolomkop vertelt je ook welk artefact de test je schuldig is: een geblokkeerd pakket of een sessierecord.

De uitvaltest beantwoordt een smallere vraag

Een gecontroleerde uitval laat zien of de client het verkeer dat je testte, op het platform dat je testte, blokkeert zolang de test duurde. Neem de adresfamilies, toepassingen en netwerkovergangen op die de eis noemt, want elk daarvan is een afzonderlijke bewering. Een blokkade die geldt voor IPv4 en niet voor IPv6 is een echte bevinding, en dat geldt ook voor een blokkade die op een bekabeld netwerk geldt maar niet bij een mobiele overdracht. Schrijf de reikwijdte naast het resultaat, want een onvoorwaardelijke doorgang is hoe een smalle test een brede aanname wordt.

De negatieve controle is net zo belangrijk als de positieve. Bevestig dat hetzelfde verzoek slaagt terwijl de tunnel omhoog is, zodat duidelijk is dat de blokkade uit het beleid kwam en niet uit een bestemming die nooit werkte. Een test die in beide toestanden faalde, bewijst niets, en dat is het vermelden waard in het record in plaats van hem stilletjes weg te gooien.

Isolatie is een browsereigenschap, geen route

Het verklaarde ontwerp van Tor Browser beperkt koppelbaarheid door circuit- en browserstatus bij elkaar te houden en status op verzoek te wissen, en het project documenteert wat dat in de praktijk betekent voor het beheren van identiteiten. Dat ontwerp veronderstelt de ondersteunde configuratie, niet een generieke browser die naar een proxy-poort wijst. Extensies die voor het gemak zijn toegevoegd, kunnen een deel van de isolatie ongedaan maken, en een onderschepte aanmelding koppelt alles wat volgt ongeacht het circuit. Het gedocumenteerde gedrag is kort genoeg om direct te lezen.

Browserwaarnemingen en netwerkwaarnemingen beantwoorden verschillende vragen, dus houd ze in aparte notities. Een pagina die via Tor laadt terwijl de VPN omhoog is, vertelt je dat de proxy werkt en niets over het dropgedrag van de VPN. Een geblokkeerd pakket tijdens een uitval zegt niets over of twee aanmeldingen een uur eerder koppelbaar waren.

Twee records, twee vragen

Voor de noodschakelaar, vraag of een genoemde toepassing tijdens een storing via een ongewenste route kan vertrekken, en breng een gecontroleerde uitval mee met een logbestemming die je bezit. Voor browserisolatie, vraag welke accounts, status en signalen twee activiteiten kunnen koppelen, en breng een werkstroom mee in plaats van een pakketopname. Als een tweede toepassing ertoe doet, test die toepassing dan apart, want de reikwijdte is vaker per toepassing dan leveranciers suggereren. Twee verschillende vragen leveren twee verschillende artefacten en één eerlijk rapport op.

Teken beide paden voordat je test: de normale route en de route na een tunnelstoring, voor elke toepassing binnen de reikwijdte. Een tekening legt de kloof bloot die één groene indicator verbergt, omdat ze je dwingt te benoemen wat gedekt is en wat niet. Doe dat terwijl de systemen gezond zijn, wanneer niemand onder druk staat om de controle als afgerond te verklaren.

Geen van beide controles certificeert de andere, en een gecombineerde opstelling heeft beide records nodig voordat ze beide eigenschappen kan claimen. Beide claimen op basis van één groene indicator is precies de fout die dit paar moet voorkomen.