Prijava preko Tora govori sajtu ko ste, a ne gdje ste

Adresa izlaza se mijenja, ime računa ne, a sajt godinama gradi profil tog računa. Prijava preko Tora uklanja jedan signal, vašu uobičajenu mrežnu lokaciju, i ostavlja ostatak slike netaknutim. To još uvijek nešto vrijedi i nije anonimnost od usluge kojoj ste se upravo autentificirali. Razliku je lako izreći i lako zaboraviti pod pritiskom.

Šta sama prijava otkriva

Uspješna prijava je namjerna izjava da ova sesija pripada tom računu. Sa strane usluge, sve nakon nje može se pripisati računu, uključujući posjećene stranice, poslane poruke i doba dana kada se račun pojavljuje.

Tor mijenja šta odredište može primijetiti o vašoj mrežnoj putanji: umjesto vaše adrese vidi izlazni relej. On ne mijenja ono što ste rekli sajtu autentifikacijom i ne čini dvije prijave s istog računa nepovezanim.

Veze unutar računa rade na isti način. Adresa za oporavak, telefonski broj, sačuvani način plaćanja ili nadimak korišten negdje drugdje, sve se veže uz identitet s kojim ste se prijavili, bez obzira na putanju kojom su paketi išli.

Novi krug nije novi račun

Tor Browser nudi dvije različite radnje koje ljudi doživljavaju kao jednu. Novi krug za sajt mijenja putanju releja za to odredište i ne dira privatno stanje preglednika. Novi identitet je širi: briše stanje preglednika, zatvara aktivnost i počinje iznova, što je druga operacija s drukčijim posljedicama.

Nijedna radnja ne traži od druge strane da bilo šta zaboravi. Već izdani kolačići, sesijski token koji sajt drži ili otisak uređaja prikupljen pri prijavi i dalje opisuju istog posjetioca nakon promjene putanje.

Svježa adresa izlaza se dakle ne čita kao nova osoba usluzi koja poznaje račun. Čita se kao isti račun koji dolazi s drugog mjesta, a to je upravo obrazac koji su sistemi za sprječavanje prevara napravljeni da primijete. Taj obrazac nije greška na sajtu. To sajt radi posao koji ste od njega tražili prijavom, a jedina iznenađenja dolaze iz očekivanja suprotnog.

Šta izlaz još vidi

Izlazni relej prenosi vaš promet otvoreno, osim ako odredište koristi HTTPS, zato su provjere certifikata u pregledniku na ovom putu važnije, a ne manje važne. Zlonamjerni izlaz realan je protivnik za nešifrirani promet, a stranica za prijavu najgore je mjesto da ga sretnete.

HTTPS štiti sadržaj od izlaza i ne čini ništa za račun s kojim ste odlučili autentificirati se. Dvije zaštite pokrivaju različite promatrače i nijedna ne zamjenjuje drugu.

Očekujte provjere računa

Usluge rutinski odgovaraju na izlaz Tora dodatnom provjerom: captchom, potvrdom e-pošte ili privremenim zadržavanjem. To je normalna reakcija na dijeljeni i ranije zloupotrijebljen raspon izvora, a ne dokaz da je sesija kompromitovana.

Koristan odgovor je jednom dovršiti podržanu provjeru. Neprestano mijenjanje krugova dok upit ne nestane ne uči vas ništa o računu i može izgledati gore od prvotnog upita. Ono troši i jedinu stvar koju ste štitili.

Ako se provjera ne može dovršiti, to je informacija o politici usluge, a odluka koju treba donijeti jest vrijedi li račun dosegnuti bez tunela. Obje su opcije legitimne; pretvarati se da je prepreka greška nije.

Odredite koji cilj zaista imate

Postoje dva cilja koja ljudi miješaju: zaštita putanje do poznatog identiteta i sprječavanje spajanja odvojenih aktivnosti. Tor dobro služi prvome. Drugi zahtijeva da se uopće ne prijavljujete ili da se prijavljujete samo identitetom stvorenim za tu svrhu i nikada pomiješanim s prvim.

Imenujte cilj prije nego što odaberete alat. Ako se račun mora koristiti, iskren opis postavke jest privatna putanja do poznatog računa, a tvrdnja o privatnosti treba biti ograničena na ono što ona zaista štiti.