Tor czy VPN: zdecyduj, komu każda droga każe ci zaufać
VPN gromadzi twoje zaufanie u jednego operatora; Tor rozdziela je między przekaźniki. Decyduj według zasięgu, tego, kto może powiązać cię z witryną, i tego, co możesz zweryfikować.
Wybór między Torem a VPN sprowadza się do tego, której stronie możesz pozwolić widzieć oba końce połączenia. VPN skupia ten widok u jednego wybranego przez ciebie operatora. Tor rozdziela go między przekaźniki, więc żaden pojedynczy przekaźnik nie powinien dowiedzieć się, kim jesteś i co pobrałeś.
Żadne z dwóch rozwiązań samo w sobie nie czyni cię anonimowym. Wybierz to, którego pozostałe zaufanie potrafisz wypowiedzieć na głos, a następnie napraw części, które pozostawia odsłonięte.
Policz, kto może powiązać cię z celem
W przypadku VPN każdy objęty przepływ dociera do wyjścia operatora, zanim dotrze do celu. Operator ten widzi z konieczności twój adres źródłowy oraz, w przypadku wszystkiego, co nie jest przez niego szyfrowane, cel, o który prosiłeś. TLS trzyma zawartość strony poza tym widokiem, ale zwykle pozostawia widoczną nazwę hosta, gdy połączenie jest nawiązywane. Jedna strona może więc powiązać cię z witryną, a to powiązanie jest dokładnie tym zaufaniem, którego udzielasz.
Tor rozdziela te połowy między trzy przekaźniki: strażnika, który zna twój adres, ale nie cel, środkowy przekaźnik, który nie zna żadnego końca, oraz wyjście, które zna cel, ale nie ciebie. Projekt zakłada, że żaden pojedynczy przekaźnik nie łączy obu faktów, co jest założeniem słabszym i bardziej przydatnym niż zaufanie jednej firmie. Nie zakłada, że przekaźniki są uczciwe, i nie pokonuje obserwatora, który widzi oba końce trasy.
Oba projekty mają jeden słaby punkt, a znajduje się on w celu. Jeśli się zalogujesz, usługa powiąże tę sesję z twoim kontem niezależnie od tego, jaką trasę pokonały pakiety. Kierowanie zmienia to, skąd żądanie wydaje się pochodzić, a nie to, czego strona cię prosi udzielić.
Zasięg liczy się bardziej niż schemat kierowania
VPN kieruje na warstwie sieciowej, więc każda aplikacja na urządzeniu dziedziczy tunel, chyba że świadomie ją wyłączysz. Ta szerokość jest powodem, dla którego działa jednocześnie dla klienta poczty, menedżera pakietów i przeglądarki.
Tor Browser to pakiet, a jego zabezpieczenia żyją głównie wewnątrz przeglądarki: jednolity odcisk, izolacja między witrynami i skrypty ograniczone poziomem bezpieczeństwa, a nie zainstalowanymi przez ciebie rozszerzeniami. Wskazanie Chrome na port SOCKS kupuje kierowanie bez niczego z tego, co jest częstym źródłem źle ulokowanej pewności siebie.
Reszta pulpitu pozostaje nietknięta. Klient synchronizacji, aktualizator lub pobrany dokument otwarty w innym programie łączy się tak, jak ten program jest skonfigurowany, i nic z tego nie przechodzi przez nasłuchiwacz SOCKS, chyba że ustawisz to tam. Wymień aplikacje, które rozmawiają z siecią, a następnie zapytaj, które z nich wybrane narzędzie naprawdę obejmuje. Zasięg jest właściwością twojej konfiguracji, nie twojej intencji.
Wybierz z trzema warunkami
Decyzja zwykle rozstrzyga się w trzech pytaniach: czy ruch pochodzi z jednej aplikacji czy z całego urządzenia, czy cel musi nie móc zidentyfikować twojego adresu, i czy musisz dotrzeć do sieci prywatnej? Odpowiedz w tej kolejności, a narzędzie zwykle wybiera się samo.
| Requirement | Better fit | Reason |
|---|---|---|
| Every app covered, including non-browser traffic | A device VPN | Routing happens below the application, with a kill switch to stop leaks |
| Destination must not learn your address | Tor | The site sees a shared exit address rather than one tied to your account |
| Browser fingerprint that blends in | Tor Browser | The uniformity ships with the browser, a proxy alone adds none of it |
| Access to a private subnet or office resource | A VPN | Tor exits reach the public internet, not your internal routes |
Gdy dwa wymagania się kłócą, rozważ, które możesz wyegzekwować. Tunel urządzenia z nieszczelną listą wyjątków jest gorszy niż trasa tylko w przeglądarce, którą możesz zademonstrować.
Weryfikacja jest tania dla obu dróg i powinna nastąpić, zanim zaufasz którejkolwiek z nich:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Fałszywy wynik pierwszego polecenia oznacza, że żądanie wyszło poza obwód, i to jest awaria, którą warto złapać wcześnie. Porównaj drugi z adresem przydzielonym przez dostawcę, a nie z tym, który pamiętasz z zeszłego tygodnia.
Czego nie naprawia żadna z opcji
Szyfrowanie aplikacji nadal wykonuje pracę, której nie wykonuje żadna droga. Zwykły HTTP przechodzący przez sieć prywatności pozostaje czytelny przy wyjściu, a HTTPS pozostaje jedyną rzeczą chroniącą ładunek od końca do końca. TLS także nic nie mówi o nazwie hosta, którą wpisałeś, dlatego cel pozostaje widoczny dla każdego, kto kończy trasę.
Konta cię identyfikują, a żaden wybór kierowania tego nie zmienia: usługa wie, kto się zalogował, niezależnie od adresu w nagłówku. Korelacja przez obserwatora, który widzi wystarczająco dużo sieci, naruszenie twojego własnego urządzenia i wszystko, co wpiszesz w formularzu, przetrwają oba projekty. Traktuj oba narzędzia jako sposoby przenoszenia zaufania, a nie jego usuwania.
Zacznij od domyślnej konfiguracji, którą dokumentuje każdy projekt, potwierdź trasę dwiema poleceniami powyżej, i dopiero wtedy rozważ piętrzenie VPN pod Torem. Zagnieżdżanie ich to konfiguracja z własnymi trybami awarii, a nie darmowa aktualizacja.