Um VPN à frente do Tor torna mais difícil vigiar você?

Adicionar outro segmento criptografado a uma rota não remove observadores; desloca-os e, às vezes, acrescenta um. O exercício útil é desenhar a rota e etiquetar quem vê o quê em cada etapa, porque um VPN à frente do Tor e um VPN alcançado através do Tor dão respostas opostas a quase todas as perguntas que vale a pena fazer. Nenhum dos dois arranjos derrota um extremo comprometido, e nenhum corrige uma conta que nomeia o usuário. Percorrer a rota em ordem e depois perguntar o que quebra quando uma camada desaparece transforma um slogan numa decisão.

Percorra a rota e nomeie cada observador

Comece pelo caso comum do Tor e etiquete cada salto. A rede local e o provedor de internet veem uma ligação a um ponto de entrada do Tor, com o seu tamanho e a sua temporização. O guarda de entrada vê o endereço do cliente, e é por isso que o guarda é uma relação de longa duração e não uma escolha aleatória. O nó de saída vê o destino e o texto simples de tudo o que não está criptografado de ponta a ponta, enquanto o destino vê um endereço de saída ao qual não está associado qualquer endereço de cliente.

Anote essas etiquetas antes de acrescentar seja o que for. O diagrama é o argumento, e é fácil de verificar.

Duas ordens produzem observações diferentes

Um VPN colocado à frente do Tor significa que o tráfego sai do dispositivo em direção ao fornecedor de VPN, sai desse fornecedor e só então chega a uma entrada do Tor. A rede local já não vê o Tor de todo, e é exactamente esse o objetivo quando uma rede o bloqueia ou o vigia. O guarda de entrada passa a ver o endereço do VPN em vez do endereço do utilizador, e o fornecedor de VPN vê que um cliente específico se liga ao Tor com um determinado padrão temporal. Esse fornecedor torna-se uma parte nova com uma observação valiosa, e a sua política de registo passa a fazer parte do modelo de ameaça em vez de ficar de fora.

Alcançar um VPN através do Tor inverte a ordem e inverte também o que fica exposto: o destino vê o endereço do VPN, a saída do Tor já não vê o destino, e o fornecedor de VPN vê tráfego Tor a chegar em vez do endereço de casa de um cliente. Também sobrecarrega a ligação com duas camadas de latência e exige um suporte de cliente que muitas aplicações comerciais não oferecem.

Escolher entre as duas é uma questão de qual observador importa mais, não de qual soa mais seguro. Um utilizador que esconde o uso do Tor de uma rede local quer a primeira ordem; um utilizador que tenta impedir que um destino saiba algo que lhe seja atribuível precisa de outra análise, e nenhuma das ordens esconde um nome de conta.

O que ainda identifica a sessão

Os observadores ao nível do endereço são apenas uma parte do quadro, e muitas vezes não a parte decisiva. Uma conta com sessão iniciada liga a atividade a uma identidade independentemente de qual endereço de saída transportou o pacote, e um registo de pagamento que o serviço possa ligar a uma pessoa faz o mesmo. O estado do navegador também contribui: um cookie persistente, uma sessão guardada ou uma extensão identificadora podem seguir um utilizador por circuitos concebidos para não serem vinculáveis.

O conteúdo enviado a um site é o terceiro sinal. Um documento com metadados, um nome escrito num formulário ou um estilo de escrita único sobrevivem a qualquer número de camadas de criptografia, e nenhuma das ferramentas à frente delas foi concebida para tocar nisso. Manter uma lista honesta destes identificadores protege mais do que acrescentar outro salto.

Planeje uma camada que desaparece

O comportamento em caso de falha é onde os arranjos realmente diferem, e é uma propriedade de configuração e não uma funcionalidade de qualquer das ferramentas. Se o VPN cair enquanto o Tor está configurado para passar por ele, o Tor pára ou volta a ligar-se em silêncio pelo caminho comum? O segundo resultado não é uma fuga para o destino, mas revela à rede local que o Tor está a ser usado, o que talvez fosse exactamente o que o arranjo pretendia evitar.

Um interruptor de corte ao nível do dispositivo pode impor parte da resposta ao recusar tráfego fora do túnel, e cobre apenas o tráfego que o dispositivo encaminha. Uma aplicação excluída do túnel contorna essa proteção, e um resolvedor usado durante a configuração da ligação pode revelar nomes mesmo quando a carga útil fica dentro do túnel. Leia as exclusões e a configuração do resolvedor em vez de assumir que o interruptor cobre tudo.

Deixe o pacote do navegador em paz

As proteções do Tor Browser dependem de o pacote inteiro se comportar como concebido: a sua própria configuração de proxy, o isolamento entre sites e as defesas contra impressões digitais. Apontar um navegador comum para uma porta local do Tor, ou acrescentar uma extensão de proxy ao Tor Browser, altera pressupostos em que o desenho se baseia. O próprio guia do Tor Project sobre combinar um VPN com o Tor trata a combinação como uma configuração avançada, e essa cautela diz respeito a estas interações e não ao fornecedor do VPN.

Antes de combinar ferramentas, saiba expor em frases simples a rota normal, a rota de falha e o papel de cada operador. Se a única justificação é que duas camadas soam mais seguras, não há requisito contra o qual desenhar, e o modo de falha acrescentado é a principal coisa que foi acrescentada.