Uma VPN esconde o download do Tor Browser da rede local?

Um download que viaja dentro de uma VPN esconde bem uma coisa: o destino da rede local. O roteador vê uma conexão com o ponto final da VPN e nada dentro dela. Isso é um ganho real, e também é todo o ganho. O operador ainda vê a requisição, e o dispositivo ainda registra o arquivo.

Nomeie o observador de quem você se esconde antes de escolher um método.

Passo 1: nomeie o observador

Em um download coberto existem quatro observadores. A rede de acesso vê o momento e o volume. O operador da VPN vê o destino, porque é ele quem encaminha a requisição. O site de download vê o endereço da VPN. A máquina vê o arquivo, a instalação e a entrada de histórico que vem depois.

Só o primeiro é derrotado pelo túnel. Os outros três precisam de um controle diferente.

Passo 2: verifique o caminho que o download realmente percorre

Antes de baixar, confirme que o tráfego está dentro do túnel e não ao lado. ip route get 1.1.1.1 mostra qual interface um destino usaria, e ss -tn state established "( dport = :443 )" durante um download de teste mostra o endereço do par que a conexão realmente alcançou. Se esse par é o ponto final da VPN, o caminho está coberto. Se é um endereço público pertencente ao destino, o tunelamento dividido está ativo e a rede de acesso vê tudo.

Repita a verificação depois de qualquer atualização do cliente, porque as regras do tunelamento dividido são política e não uma propriedade da interface.

Passo 3: baixe da fonte oficial e verifique o artefato

Use a página de download suportada e mantenha as verificações HTTPS intactas. Um aviso de certificado neste download não é algo para ignorar com um clique, e um espelho que promete um instalador mais rápido não substitui o editor. O túnel muda o caminho dos bytes e não diz nada sobre quem os produziu.

Verifique a assinatura em vez de confiar no nome do arquivo:

gpg --verify tor-browser-linux-x86_64-*.tar.xz.asc tor-browser-linux-x86_64-*.tar.xz
sha256sum tor-browser-linux-x86_64-*.tar.xz

Uma boa assinatura com a chave do editor é a verificação de integridade. Uma soma de verificação correspondente publicada pelo mesmo espelho não confiável não é.

Passo 4: mantenha o caminho de execução separado

Baixar sob uma VPN não configura o Tor Browser para continuar usando uma. O navegador chega à rede Tor pelo roteamento que o sistema operacional tem ao iniciar, então um túnel que estava ativo durante o download e desligado na execução produz um caminho diferente com o mesmo binário. Decida a ordem deliberadamente, primeiro VPN e depois Tor ou Tor sozinho, e anote em qual a máquina deve estar. Misturar os dois por acidente não dá a visibilidade de nenhum.

Verifique após a execução em vez de presumir: a exibição do circuito mostra o guarda que o navegador escolheu, e um teste de conexão simples mostra se a rota do sistema ainda é o túnel.

Passo 5: limpe o que o dispositivo ainda registra

O arquivo é o maior rastro. Downloads, histórico do shell, listas de documentos recentes, o log do gerenciador de pacotes se você instalou um deb, e qualquer agente de endpoint em uma máquina gerenciada guardam todos provas da instalação. Em equipamento que você não administra, um túnel não remove a gestão, e tratá-lo como se removesse é um problema de política, não técnico.

Apague o arquivo compactado quando a instalação estiver verificada, e aceite que desinstalar o navegador depois não removerá o registro do download de um dispositivo gerenciado.

Essa é a resposta honesta: a rede local vê menos, e todos os outros veem o que viam antes.