Inloggen via Tor vertelt de site wie je bent, niet waar

Het uitgangsadres verandert, de accountnaam niet, en de site bouwt al jaren een profiel van dat account op. Inloggen via Tor haalt één signaal weg, je gebruikelijke netwerklocatie, en laat de rest van het beeld intact. Dat is nog steeds iets waard, en het is geen anonimiteit ten opzichte van de dienst waarbij je je zojuist hebt geauthenticeerd. Het onderscheid is makkelijk te benoemen en onder druk makkelijk te vergeten.

Wat de login zelf prijsgeeft

Een geslaagde login is een bewuste verklaring dat deze sessie bij dat account hoort. Vanuit de dienst gezien is alles daarna aan het account toerekenbaar, inclusief de bezochte pagina's, de verzonden berichten en de tijdstippen van de dag waarop het account verschijnt.

Tor verandert wat de bestemming kan waarnemen over je netwerkpad: in plaats van je adres ziet die een uitgangsrelay. Het verandert niet wat je de site door authenticatie hebt verteld, en het maakt twee logins van hetzelfde account niet ongerelateerd.

Links binnen het account werken op dezelfde manier. Een hersteladres, een telefoonnummer, een opgeslagen betaalmethode of een elders hergebruikte bijnaam hechten zich allemaal aan de identiteit waarmee je inlogde, ongeacht de route die de pakketten namen.

Een nieuw circuit is geen nieuw account

De Tor Browser biedt twee verschillende acties die mensen als één behandelen. Een nieuw circuit voor de site verandert het relaypad voor die bestemming en laat de privétoestand van de browser ongemoeid. Nieuwe identiteit is breder: het wist de browsertoestand, sluit activiteit en begint opnieuw, wat een andere bewerking met andere gevolgen is.

Geen van beide acties vraagt de andere kant iets te vergeten. Al uitgegeven cookies, een sessietoken dat de site aanhoudt, of een bij de login verzamelde apparaatvingerafdruk beschrijven na de routewijziging nog steeds dezelfde bezoeker.

Een vers uitgangsadres leest dus niet als een nieuw persoon voor een dienst die het account kent. Het leest als hetzelfde account dat van elders aankomt, en dat is precies het patroon dat fraudesystemen gebouwd zijn om op te merken. Dat patroon is geen fout in de site. Het is de site die het werk doet dat je ervan vroeg door in te loggen, en de enige verrassingen komen van het tegenovergestelde verwachten.

Wat de uitgang nog ziet

De uitgangsrelay draagt je verkeer onversleuteld, tenzij de bestemming HTTPS gebruikt, en daarom zijn de certificaatcontroles van de browser op dit pad belangrijker, niet minder. Een kwaadaardige uitgang is een realistische tegenstander voor onversleuteld verkeer, en een inlogpagina is de slechtste plek om er een te ontmoeten.

HTTPS beschermt de inhoud tegen de uitgang en doet niets voor het account waarmee je hebt gekozen je te authenticeren. De twee beschermingen dekken verschillende waarnemers, en geen van beide vervangt de andere.

Verwacht de accountcontroles

Diensten reageren routineus op een Tor-uitgang met extra verificatie: een captcha, een e-mailbevestiging of een tijdelijke blokkade. Dat is een normale reactie op een gedeeld en eerder misbruikt bronbereik, geen bewijs dat de sessie is gecompromitteerd.

De nuttige reactie is de ondersteunde controle één keer te voltooien. Herhaaldelijk van circuit wisselen tot een melding verdwijnt leert je niets over het account en kan er slechter uitzien dan de oorspronkelijke melding. Het verspilt ook het enige dat je beschermde.

Als een controle niet kan worden voltooid, is dat informatie over het beleid van de dienst, en de beslissing die je moet nemen is of het account het waard is om zonder de tunnel te bereiken. Beide opties zijn legitiem; doen alsof het obstakel een fout is, niet.

Bepaal welk doel je werkelijk hebt

Er zijn twee doelen die mensen verwarren: de route naar een bekende identiteit beschermen, en voorkomen dat afzonderlijke activiteiten worden samengevoegd. Tor dient het eerste goed. Het tweede vereist helemaal niet inloggen, of alleen inloggen met een identiteit die voor dat doel is gemaakt en nooit met de eerste is vermengd.

Noem het doel voordat je het gereedschap kiest. Als het account moet worden gebruikt, is de eerlijke beschrijving van de opzet een privépad naar een bekend account, en de privacybewering moet beperkt blijven tot wat dat werkelijk beschermt.