Wyłącznik awaryjny a izolacja Tor Browser: dwa różne testy

Wyłączniki awaryjne i modele tożsamości przeglądarki bywają mylone, ponieważ oba opisuje się jako funkcje prywatności. Jeden blokuje ruch w warstwie sieciowej, a drugi ogranicza to, co może powiązać sesja przeglądania. Zdanie testu pierwszego nie mówi nic o drugim, a strona ładowana w Tor Browser nie mówi nic o pierwszym. Decyzja dotyczy tego, która kontrola odpowiada na które pytanie, bo ten wybór decyduje, jakie dowody się liczą.

Dwie kontrole na dwóch granicach

Wyłącznik awaryjny to reguła dotycząca tras: gdy tunel nie jest podniesiony, ruch, który inaczej wybrałby inną drogę, jest odrzucany. Jego zakres to to, co obejmuje implementacja, czyli cały system, jedna aplikacja albo tylko rodziny adresów zarządzane przez klienta. Izolacja przeglądarki dotyczy tego, co witryna może zaobserwować o odwiedzającym w trakcie sesji: ciasteczka, stan w pamięci podręcznej, odciski palców, logowania. Żaden z tych mechanizmów nie zastąpi drugiego, ponieważ działają na zupełnie innych obiektach.

Dlatego maszyna może przejść doskonały test wyłącznika awaryjnego i nadal wyciec tożsamość przez logowanie. Odwrotność zdarza się równie często: dobrze odizolowana przeglądarka na hoście, którego telemetria obiera drogę, której polityka nigdy nie objęła.

Umieszczenie obu pod jedną etykietą właśnie tworzy złe dowody, bo wtedy zdanie jednej strony zastępuje parę. Trzymaj je w osobnych kolumnach od początku. Nagłówek kolumny mówi też, jaki artefakt test ci jest winien: zablokowany pakiet czy zapis sesji.

Przebieg awarii odpowiada na węższe pytanie

Kontrolowana awaria pokazuje, czy klient blokuje ruch, który testujesz, na platformie, którą testujesz, przez cały czas trwania testu. Uwzględnij rodziny adresów, aplikacje i przejścia sieciowe wymienione w wymaganiu, bo każde z nich jest osobnym twierdzeniem. Blokada, która działa dla IPv4, a nie dla IPv6, jest realnym ustaleniem, podobnie jak blokada działająca w sieci przewodowej, ale nie przy przełączeniu mobilnym. Zapisz zakres obok wyniku, bo bezwarunkowe zdanie testu to sposób, w jaki wąski test staje się szerokim założeniem.

Kontrola negatywna jest równie ważna jak pozytywna. Potwierdź, że to samo żądanie się udaje, gdy tunel jest podniesiony, żeby było jasne, że blokada pochodziła z polityki, a nie z celu, który nigdy nie działał. Test, który nie powiódł się w obu stanach, niczego nie dowodzi, i warto to powiedzieć w zapisie, zamiast po cichu go odrzucać.

Izolacja jest właściwością przeglądarki, a nie trasą

Deklarowany projekt Tor Browser ogranicza łączliwość, trzymając razem stan obwodu i przeglądarki oraz czyszcząc stan na żądanie, a projekt dokumentuje, co to znaczy w praktyce dla zarządzania tożsamościami. Ten projekt zakłada obsługiwaną konfigurację, a nie ogólną przeglądarkę wskazującą na port proxy. Rozszerzenia dodane dla wygody mogą znieść część izolacji, a przechwycone logowanie łączy wszystko, co następuje, niezależnie od obwodu. Udokumentowane zachowanie jest dość krótkie, by przeczytać je bezpośrednio.

Obserwacje przeglądarki i obserwacje sieci odpowiadają na różne pytania, więc trzymaj je w osobnych notatkach. Strona ładowana przez Tor, gdy VPN jest podniesiony, mówi, że proxy działa, i nic o zachowaniu odrzucania VPN. Zablokowany pakiet podczas awarii nie mówi nic o tym, czy dwa logowania były łączliwe godzinę wcześniej.

Dwa zapisy, dwa pytania

W przypadku wyłącznika awaryjnego zapytaj, czy nazwana aplikacja może wyjść niechcianą trasą podczas awarii, i przynieś kontrolowaną awarię z należącym do ciebie celem logowania. W przypadku izolacji przeglądarki zapytaj, jakie konta, stan i sygnały mogłyby połączyć dwie aktywności, i przynieś przepływ pracy zamiast przechwytywania pakietów. Jeśli liczy się druga aplikacja, testuj ją osobno, bo zakres częściej dotyczy aplikacji, niż sugerują dostawcy. Dwa różne pytania dają dwa różne artefakty i jeden uczciwy raport.

Narysuj obie trasy przed testowaniem: trasę normalną i trasę po awarii tunelu, dla każdej aplikacji w zakresie. Rysunek ujawnia lukę, którą ukrywa jeden zielony wskaźnik, bo zmusza cię do nazwania tego, co jest pokryte, a co nie. Zrób to, gdy systemy są zdrowe, gdy nikt nie jest pod presją ogłoszenia kontroli zakończoną.

Żadna z kontroli nie certyfikuje drugiej, a złożona konfiguracja potrzebuje obu zapisów, zanim może twierdzić, że ma obie właściwości. Twierdzenie obu na podstawie jednego zielonego wskaźnika to dokładnie ta porażka, której ta para ma zapobiegać.