Gjør en VPN foran Tor det vanskeligere å overvåke deg?

Å legge til enda et kryptert segment på en rute fjerner ikke observatørene; det flytter dem, og noen ganger legger det til en. Den nyttige øvelsen er å tegne ruten og merke hvem som ser hva ved hvert steg, fordi en VPN foran Tor og en VPN som nås gjennom Tor gir motsatte svar på nesten hvert spørsmål som er verdt å stille. Ingen av de to ordningene beseirer et kompromittert endepunkt, og ingen av dem reparerer en konto som navngir brukeren. Å gå ruten i rekkefølge og deretter spørre hva som bryter sammen når et lag forsvinner, gjør et slagord til en beslutning.

Gå ruten og navngi hver observatør

Start med det vanlige Tor-tilfellet og merk hvert hopp. Det lokale nettverket og internettleverandøren ser en forbindelse til et Tor-inngangspunkt, sammen med størrelsen og tidspunktet. Inngangsvakten ser klientens adresse, og derfor er vakten et langvarig forhold og ikke et tilfeldig valg. Utgangsknuten ser destinasjonen og klarteksten til alt som ikke er ende-til-ende-kryptert, mens destinasjonen ser en utgangsadresse uten noen klientadresse knyttet til seg.

Skriv ned disse merkelappene før du legger til noe. Diagrammet er argumentet, og det er lett å kontrollere.

To rekkefølger gir forskjellige observasjoner

En VPN plassert foran Tor betyr at trafikken forlater enheten mot VPN-leverandøren, forlater den leverandøren og først deretter når en Tor-inngang. Det lokale nettverket ser ikke Tor i det hele tatt lenger, og det er hele poenget når et nettverk blokkerer eller overvåker det. Inngangsvakten ser nå VPN-ens adresse i stedet for brukerens, og VPN-leverandøren ser at en bestemt kunde kobler til Tor med et bestemt tidsmønster. Den leverandøren blir en ny part med en verdifull observasjon, og loggføringspolicyen er nå en del av trusselmodellen i stedet for utenfor den.

Å nå en VPN gjennom Tor snur rekkefølgen og snur også det som eksponeres: destinasjonen ser VPN-ens adresse, Tor-utgangen ser ikke lenger destinasjonen, og VPN-leverandøren ser Tor-trafikk som ankommer i stedet for hjemmeadressen til en kunde. Det belaster også forbindelsen med to lag med latens og krever klientstøtte som mange kommersielle applikasjoner ikke tilbyr.

Å velge mellom dem er et spørsmål om hvilken observatør som betyr mest, ikke om hvilken som høres sikrere ut. En bruker som skjuler Tor-bruk for et lokalt nettverk, vil ha den første rekkefølgen; en bruker som prøver å hindre en destinasjon i å lære noe som kan tilskrives ham, trenger en annen analyse, og ingen av rekkefølgene skjuler et kontonavn.

Hva som fortsatt identifiserer økten

Observatører på adressenivå er bare en del av bildet, og ofte ikke den avgjørende delen. En innlogget konto binder aktiviteten til en identitet uavhengig av hvilken utgangsadresse som bar pakken, og en betalingsregistrering som tjenesten kan knytte til en person, gjør det samme. Nettleserens tilstand bidrar også: en vedvarende informasjonskapsel, en lagret innlogging eller en identifiserende utvidelse kan følge en bruker gjennom kretser som ble designet for å være ulenkbare.

Innhold som sendes til et nettsted, er det tredje signalet. Et dokument med metadata, et navn skrevet inn i et skjema eller en unik skrivestil overlever et hvilket som helst antall krypteringslag, og ingen av verktøyene foran dem er laget for å røre ved det. Å føre en ærlig liste over disse identifikatorene beskytter mer enn å legge til enda et hopp.

Planlegg for et lag som forsvinner

Feilatferd er der ordningene virkelig skiller seg, og det er en konfigurasjonsegenskap og ikke en funksjon i noen av verktøyene. Hvis VPN-en faller mens Tor er konfigurert til å gå gjennom den, stopper Tor da, eller kobler den stille til igjen over den vanlige ruten? Det andre utfallet er ikke en lekkasje til destinasjonen, men det avslører for det lokale nettverket at Tor brukes, noe som kanskje var nettopp det ordningen skulle forhindre.

En kill switch på enhetsnivå kan håndheve en del av svaret ved å nekte trafikk utenfor tunnelen, og den dekker bare trafikk enheten ruter. Et program som er utelatt fra tunnelen, omgår den beskyttelsen, og en resolver som brukes under oppsett av forbindelsen, kan avsløre navn selv når nyttelasten blir inne i tunnelen. Les unntakene og resolverens konfigurasjon i stedet for å anta at bryteren dekker alt.

La nettleserpakken være i fred

Tor Browsers beskyttelse avhenger av at hele pakken oppfører seg som designet: dens egen proxykonfigurasjon, isolasjonen mellom nettsteder og fingeravtrykkforsvaret. Å peke en vanlig nettleser mot en lokal Tor-port, eller legge til en proxyutvidelse i Tor Browser, endrer forutsetninger som designet hviler på. Tor Projects egen veiledning om å kombinere en VPN med Tor behandler kombinasjonen som en avansert konfigurasjon, og den forsiktigheten handler om disse interaksjonene og ikke om VPN-leverandøren.

Før du kombinerer verktøy, må du kunne si den vanlige ruten, feilruten og hver operatørs rolle i enkle setninger. Hvis den eneste begrunnelsen er at to lag høres sikrere ut, er det ingen krav å designe mot, og den tilførte feilmodusen er det viktigste som ble lagt til.