Nødstopp mot Tor Browser-isolasjon: to ulike testar

Nødstopp og identitetsmodellane til nettlesaren blir blanda saman fordi begge blir skildra som personvernfunksjonar. Den eine blokkerer trafikk på nettverkslaget, og den andre avgrensar kva ein nettlesarøkt kan knyte saman. Å greie ein test av den første seier ingenting om den andre, og ei side som lastar i Tor Browser seier ingenting om den første. Avgjerda er kva kontroll som svarar på kva spørsmål, fordi dette valet avgjer kva bevis som tel.

To kontrollar ved to grenser

Ein nødstopp er ein regel om ruter: når tunnelen ikkje er oppe, blir trafikk som elles ville teke ein annan veg, sleppt gjennom. Omfanget er det implementasjonen dekkjer, som kan vere heile systemet, éin applikasjon eller berre dei adressefamiliane klienten styrer. Nettlesarisolasjon handlar om kva eit nettstad kan observere om ein besøkjande gjennom ei økt: informasjonskapslar, bufra tilstand, fingeravtrykk, påloggingar. Ingen av mekanismane kan erstatte den andre, fordi dei verkar på heilt ulike objekt.

Difor kan ein maskin greie ein perfekt nødstopptest og likevel lekkje identitet gjennom ei pålogging. Det motsette skjer like ofte: ein godt isolert nettlesar på ein vert der telemetrien tek ein veg som policyen aldri dekte.

Å leggje begge under éin etikett er det som gir dårlege bevis, fordi eit greidd resultat på éi side då står i staden for paret. Hald dei i separate kolonnar frå starten. Kolonneoverskrifta fortel deg òg kva artefakt testen skuldar deg: ein blokkert pakke eller ein øktoppføring.

Utfallskøyringa svarar på eit trongare spørsmål

Eit kontrollert utfall viser om klienten blokkerer trafikken du testa, på plattforma du testa, så lenge testen varte. Ta med adressefamiliane, applikasjonane og nettverksovergangane kravet nemner, fordi kvar av dei er ein eigen påstand. Ei blokkering som gjeld for IPv4 og ikkje for IPv6, er eit reelt funn, og det same er ei blokkering som gjeld på eit kabelnett, men ikkje ved ei mobil overlevering. Skriv omfanget ved sida av resultatet, fordi eit uvilkårleg greidd resultat er korleis ein trong test blir ein brei føresetnad.

Den negative kontrollen tyder like mykje som den positive. Stadfest at den same førespurnaden lukkast medan tunnelen er oppe, slik at det er klart at blokkeringa kom frå policyen og ikkje frå ein destinasjon som aldri verka. Ein test som feila i begge tilstandar, beviser ingenting, og det er verdt å seie det i oppføringa i staden for å kaste han stille bort.

Isolasjon er ein nettlesareigenskap, ikkje ei rute

Den erklærte utforminga av Tor Browser avgrensar samankopling ved å halde krins- og nettlesartilstand saman og ved å slette tilstand på førespurnad, og prosjektet dokumenterer kva det tyder i praksis for handsaming av identitetar. Denne utforminga føreset den støtta konfigurasjonen, ikkje ein generisk nettlesar peika mot ein proxyport. Utvidingar lagde til for bekvemmelegheit kan oppheve delar av isolasjonen, og ei fanga pålogging knyter alt som følgjer saman uavhengig av krinsen. Den dokumenterte åtferda er kort nok til å lesast direkte.

Nettlesarobservasjonar og nettverksobservasjonar svarar på ulike spørsmål, så hald dei i separate notat. Ei side som lastar via Tor medan VPN-en er oppe, fortel deg at proxyen verkar, og ingenting om droppåtferda til VPN-en. Ein blokkert pakke under eit utfall seier ingenting om korvidt to påloggingar var samankoplingbare ein time tidlegare.

To oppføringar, to spørsmål

For nødstoppen, spør om ein namngjeven applikasjon kan forlate systemet via ei uønskt rute under ein feil, og ta med eit kontrollert utfall med eit loggmål du eig. For nettlesarisolasjonen, spør kva kontoar, tilstand og signal som kan knyte to aktivitetar saman, og ta med ein arbeidsflyt i staden for ein pakkefangst. Viss ein annan applikasjon betyr noko, test den applikasjonen separat, fordi omfanget oftare er per applikasjon enn leverandørar antydar. To ulike spørsmål gir to ulike artefakt og éin ærleg rapport.

Teikn begge vegar før testing: den normale ruta og ruta etter ein tunnelfeil, for kvar applikasjon i omfanget. Ei teikning avdekkjer gapet som éin grøn indikator skjuler, fordi ho tvingar deg til å namngje kva som er dekt og kva som ikkje er det. Gjer det medan systema er sunne, når ingen er under press for å erklære kontrollen fullført.

Ingen av kontrollane sertifiserer den andre, og eit kombinert oppsett treng begge oppføringane før det kan hevde begge eigenskapane. Å hevde begge ut frå éin grøn indikator er nøyaktig feilen dette paret skal hindre.