Iniciar sessão pelo Tor diz ao site quem você é, não onde

O endereço de saída muda, o nome da conta não, e o site constrói há anos um perfil dessa conta. Iniciar sessão pelo Tor remove um sinal, a sua localização habitual na rede, e deixa o resto do quadro intacto. Isso ainda vale algo, e não é anonimato perante o serviço com que acabou de se autenticar. A distinção é fácil de enunciar e fácil de esquecer sob pressão.

O que o próprio início de sessão revela

Um início de sessão bem-sucedido é uma declaração deliberada de que esta sessão pertence a essa conta. Do lado do serviço, tudo o que vem depois é atribuível à conta, incluindo as páginas visitadas, as mensagens enviadas e as horas do dia em que a conta aparece.

O Tor muda o que o destino pode observar sobre a sua rota de rede: em vez do seu endereço, vê um relé de saída. Não muda o que disse ao site ao autenticar-se, nem torna dois inícios de sessão da mesma conta sem relação.

As ligações dentro da conta funcionam da mesma forma. Um endereço de recuperação, um número de telefone, um método de pagamento guardado ou uma alcunha reutilizada noutro sítio ligam-se todos à identidade com que iniciou sessão, independentemente da rota que os pacotes seguiram.

Um circuito novo não é uma conta nova

O navegador Tor oferece duas ações diferentes que as pessoas tratam como uma só. Um circuito novo para o site muda a rota de relés usada para esse destino e deixa intacto o estado privado do navegador. A identidade nova é mais ampla: apaga o estado do navegador, fecha a atividade e começa de novo, o que é uma operação diferente com consequências diferentes.

Nenhuma das duas ações pede ao outro lado que esqueça nada. Os cookies já emitidos, um token de sessão detido pelo site ou uma impressão digital de dispositivo recolhida no início de sessão continuam a descrever o mesmo visitante depois de a rota mudar.

Assim, um endereço de saída novo não é lido como uma pessoa nova por um serviço que conhece a conta. É lido como a mesma conta a chegar de outro lugar, e é exatamente esse o padrão que os sistemas antifraude foram construídos para notar. Esse padrão não é um defeito do site. É o site a fazer o trabalho que lhe pediu ao iniciar sessão, e as únicas surpresas vêm de esperar o contrário.

O que a saída ainda vê

O relé de saída transporta o seu tráfego em claro, a menos que o destino use HTTPS, e é por isso que as verificações de certificado do navegador contam mais nesta rota, não menos. Uma saída maliciosa é um adversário realista para o tráfego não cifrado, e uma página de início de sessão é o pior lugar para a encontrar.

O HTTPS protege o conteúdo da saída e não faz nada pela conta com que escolheu autenticar-se. As duas proteções cobrem observadores diferentes e nenhuma substitui a outra.

Conte com as verificações da conta

Os serviços respondem rotineiramente a uma saída Tor com verificação adicional: um captcha, uma confirmação por e-mail ou uma retenção temporária. É uma reação normal a um intervalo de origens partilhado e já abusado, não uma prova de que a sessão foi comprometida.

A resposta útil é concluir a verificação suportada uma vez. Mudar de circuito repetidamente até um aviso desaparecer não lhe ensina nada sobre a conta e pode parecer pior do que o aviso original. Também desperdiça a única coisa que estava a proteger.

Se uma verificação não puder ser concluída, isso é informação sobre a política do serviço, e a decisão a tomar é se vale a pena chegar à conta sem o túnel. Ambas as opções são legítimas; fingir que o obstáculo é um defeito não é.

Decida que objetivo tem na realidade

Há dois objetivos que as pessoas confundem: proteger a rota até uma identidade conhecida e impedir que atividades separadas sejam unidas. O Tor serve bem o primeiro. O segundo exige não iniciar sessão de todo, ou iniciá-la apenas com uma identidade criada para esse fim e nunca misturada com a primeira.

Dê nome ao objetivo antes de escolher a ferramenta. Se a conta tiver de ser usada, a descrição honesta da configuração é uma rota privada até uma conta conhecida, e a alegação de privacidade deve limitar-se ao que isso protege de facto.