Kill switch frente ao isolamento do Tor Browser: dois testes diferentes

Os kill switch e os modelos de identidade do navegador confundem-se porque ambos são descritos como funções de privacidade. Um bloqueia o tráfego na camada de rede, e o outro limita o que uma sessão de navegação pode ligar entre si. Passar num teste do primeiro não diz nada sobre o segundo, e uma página que carrega dentro do Tor Browser não diz nada sobre o primeiro. A decisão é qual controlo responde a que pergunta, porque essa escolha determina que provas contam.

Dois controlos em duas fronteiras

Um kill switch é uma regra sobre rotas: quando o túnel não está levantado, o tráfego que de outra forma seguiria um caminho diferente é descartado. O seu alcance é o que a implementação cobre, que pode ser todo o sistema, uma aplicação ou apenas as famílias de endereços que o cliente gere. O isolamento do navegador diz respeito ao que um site pode observar sobre um visitante ao longo de uma sessão: cookies, estado em cache, impressões digitais, inícios de sessão. Nenhum dos mecanismos pode substituir o outro, porque atuam sobre objetos completamente diferentes.

Por isso uma máquina pode passar num teste perfeito de kill switch e ainda assim libertar a identidade através de um início de sessão. O contrário acontece com a mesma frequência: um navegador bem isolado num anfitrião cuja telemetria segue um caminho que a política nunca cobriu.

Arquivar ambos sob um único rótulo é o que produz provas más, porque então um passe de um lado substitui o par. Mantenha-os em colunas separadas desde o início. O cabeçalho da coluna também lhe diz que artefacto o teste lhe deve: um pacote bloqueado ou um registo de sessão.

O teste de falha responde a uma pergunta mais estreita

Uma falha controlada mostra se o cliente bloqueia o tráfego que testou, na plataforma que testou, durante o tempo que o teste durou. Inclua as famílias de endereços, as aplicações e as transições de rede que o requisito menciona, porque cada uma é uma afirmação separada. Um bloqueio que vale para IPv4 e não para IPv6 é uma descoberta real, e também o é um bloqueio que vale numa rede com fios mas não numa transferência móvel. Escreva o alcance junto do resultado, porque um passe sem qualificações é como um teste estreito se torna uma suposição ampla.

O controlo negativo importa tanto como o positivo. Confirme que o mesmo pedido tem sucesso enquanto o túnel está levantado, para que fique claro que o bloqueio veio da política e não de um destino que nunca funcionou. Um teste que falhou nos dois estados não prova nada, e vale a pena dizê-lo no registo em vez de o descartar em silêncio.

O isolamento é uma propriedade do navegador, não uma rota

O desenho declarado do Tor Browser limita a ligação mantendo juntos o estado do circuito e do navegador e limpando o estado a pedido, e o projeto documenta o que isso significa na prática para a gestão de identidades. Esse desenho pressupõe a configuração suportada, não um navegador genérico apontado para uma porta de proxy. As extensões adicionadas por conveniência podem anular parte do isolamento, e um início de sessão capturado liga tudo o que se segue independentemente do circuito. O comportamento documentado é suficientemente curto para ser lido diretamente.

As observações do navegador e as da rede respondem a perguntas diferentes, por isso guarde-as em notas separadas. Uma página que carrega através do Tor enquanto a VPN está levantada diz-lhe que o proxy funciona e nada sobre o comportamento de descarte da VPN. Um pacote bloqueado durante uma falha não diz nada sobre se dois inícios de sessão eram ligáveis uma hora antes.

Dois registos, duas perguntas

Para o kill switch, pergunte se uma aplicação nomeada pode sair por uma rota indesejada durante uma falha, e traga uma falha controlada com um destino de registo que possua. Para o isolamento do navegador, pergunte que contas, estado e sinais poderiam ligar duas atividades, e traga um fluxo de trabalho em vez de uma captura de pacotes. Se uma segunda aplicação importa, teste-a separadamente, porque o alcance é por aplicação mais vezes do que os fornecedores insinuam. Duas perguntas diferentes produzem dois artefactos diferentes e um relatório honesto.

Desenhe os dois caminhos antes de testar: a rota normal e a rota após uma falha do túnel, para cada aplicação no alcance. Um desenho expõe a lacuna que um único indicador verde esconde, porque obriga-o a nomear o que está coberto e o que não está. Faça isso enquanto os sistemas estão saudáveis, quando ninguém está sob pressão para declarar a verificação concluída.

Nenhum dos dois controlos certifica o outro, e uma configuração combinada precisa dos dois registos antes de poder reclamar as duas propriedades. Reclamar ambas a partir de um único indicador verde é exatamente a falha que este emparelhamento deve evitar.