Nový okruh Tor verzus prepnutie servera VPN: čo sa naozaj zmení
Zmena okruhu presúva cestu Tor, kým prepnutie servera presúva koncový bod tunela. Ktorá z nich zmení adresu, ktorú stránka vidí, závisí od poradia.
Zmena okruhu Tor a prepnutie servera VPN obe pôsobia ako získanie novej trasy, ale zlyhávajú na rôznych miestach, keď ich považuješ za to isté tlačidlo. Jedno žiada klienta Tor, aby pre stránku zostavil inú cestu, druhé žiada klienta VPN, aby sa pripojil k inému koncovému bodu. Ani jedno nie je reset a adresa, ktorú stránka napokon vidí, závisí od toho, ktorá z týchto dvoch operácií je bližšie k cieľu. Takto sa rozhodujem, po ktorom ovládacom prvku siahnuť, a čo potom skontrolujem.
Dve operácie v dvoch rôznych vrstvách
Tor je nadstavba. Klient si vyberie strážny relé, stredné relé a výstupné relé a potom cez tento okruh prenáša toky TCP; cieľ vidí výstup a nič iné. Zmena okruhu je rozhodnutie prijaté vnútri Tor o tom, ktoré relé prenášajú tok.
VPN je tunel pod tým. Klient si vyberie koncový bod, zabalí prevádzku do vonkajšej vrstvy a všetko, čo príde potom, vidí adresu koncového bodu. Prepnutie servera je rozhodnutie o tom, kde sa vonkajšia cesta končí.
Pretože vrstvy sú nezávislé, jedna operácia môže byť na druhom konci spojenia neviditeľná. Práve táto asymetria vysvetľuje väčšinu zmätku okolo týchto dvoch ovládacích prvkov.
Čo robí New Tor Circuit for this Site
New Tor Circuit for this Site v paneli s informáciami o stránke zavrie toky, ktoré Tor pre túto stránku prenáša, a vytvorí nový okruh pre ďalšiu požiadavku. Karty, súbory cookie, prihlásenia a zvyšok relácie zostanú presne tam, kde boli, a o to ide: reláciu si ponecháš a cestu zmeníš.
To z neho robí správny nástroj na úzku poruchu: výstupné relé, ktoré cieľ blokuje, slučku captcha, ktorá nasleduje výstup, alebo jednu stránku, ktorá zamrzne, kým všetky ostatné fungujú dobre. Zobrazenie okruhu v tom istom paneli uvádza tri relé, takže si môžeš potvrdiť, že výstup sa naozaj zmenil, namiesto toho, aby si to predpokladal.
Sleduj strážcu. Tor si drží malú množinu vstupných strážcov a zmena okruhu zvyčajne použije toho istého strážcu, takže prvý skok v sieti sa nepohne. New Identity je väčší reset: zavrie karty a vyčistí stav prehliadania pred zostavením nového okruhu, a ovládacie prvky identity sú zdokumentované osobitne z nejakého dôvodu: je to iná operácia s inou cenou.
Čo robí prepnutie servera VPN
Klient strhne tunel a pripojí sa k inému koncovému bodu. Ďalší skok mimo tunela, či už je to strážca Tor alebo samotný cieľ, vidí inú zdrojovú adresu. Spojenia vnútri tunela sa prerušia a musia sa obnoviť, takže stránky môžu visieť, kým nevyprší časový limit, namiesto toho, aby sa čisto načítali.
Nič nad tunelom sa neprepisuje, ale strhnutie nie je neviditeľné. V zostave s VPN na začiatku výstup stále vyberá Tor, avšak zhodenie tunela zabije TCP spojenia, ktoré Tor drží so svojím strážcom, takže Tor tie okruhy strhne a zostaví nové, pričom znova vyberie výstup. Stránka preto môže po prepnutí vidieť inú výstupnú adresu, hoci samotné prepnutie žiadnu nevybralo. Prepnutie rozhoduje o adrese, ktorú vidí strážca, a práve prestavaný okruh znova vyberá výstup. Ak si prepol servery len preto, aby sa zmenilo to, čo stránka vidí, keď je Tor vpredu, posunul si vrstvu, ktorú stránka nikdy priamo nepozoruje, a akúkoľvek zmenu, ktorú stránka zbadala, spôsobilo prestavanie, nie prepnutie.
Prepnutie tiež ovplyvňuje len trasu, ktorú vlastní klient. Prehliadač, ktorý znovu použije otvorené spojenie, môže vyzerať zaseknutý na starej ceste, kým sa znova nepripojí, a odpoveď DNS v medzipamäti je druhá obvyklá prekážka. Najprv obnov stránku, potom posudzuj.
Poradie rozhoduje o tom, čo vidí cieľ
Dve poradia odpovedajú na rôzne otázky. Keď je VPN pred Tor, strážca a relé vidia koncový bod VPN, kým cieľ vidí výstup Tor. Keď je Tor pred VPN, cieľ vidí koncový bod VPN, pretože tunel je posledná vec, cez ktorú prevádzka prechádza.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
Vyhľadanie IP teda hlási to, čo videl cieľ, nie cestu, ktorá to preniesla. Služba, ktorá v jednej zostave ukazuje výstup a v druhej VPN, sa správa správne a nevyzrádza údaje.
Čo nerobí ani jedna operácia
Ani jedna neodstraňuje identitu účtu. Prihlásená relácia je súbor cookie plus záznam na strane servera a zmena cesty sa nedotkne ani jedného z nich. Stabilný profil prehliadača, to isté prihlásenie a ten istý odtlačok prežijú obe akcie.
Ani jedna nie je ani dôkazom. Stránka hlási adresu, ktorú pozorovala počas požiadavky; nemôže hlásiť tvoju cestu cez relé ani to, či tvoje VPN vypadlo pred desiatimi minútami. Ak tú časovú os potrebuješ, zapíš si ju v tej chvíli, pretože z druhého konca sa nedá dodatočne zrekonštruovať.
Priraď ovládací prvok k príznaku
Začni tým, čo zlyhalo, nie tým, ktoré tlačidlo vyzerá dôkladnejšie:
- Jedna stránka ťa blokuje, captcha sa točí v slučke alebo jedna stránka je pomalá: nový okruh pre tú stránku.
- Zostava len s VPN potrebuje inú viditeľnú adresu: prepni server.
- Čakal si výstup, ale stránka hlási tvoje VPN: skontroluj poradie, Tor je za tunelom.
- Karty zatvorené a všetko resetované: použil si New Identity, nie zmenu okruhu.
- Výstup vyzerá po zmene okruhu nezmenený: relé sa môžu oprávnene opakovať a strážca sa nepohne vôbec.
Zapíš si akciu a príznak, ktorý mala opraviť, skôr než zmeníš čokoľvek iné. Dve prepnutia za sebou vytvoria porovnanie, ktoré sa nedá interpretovať, a opakovanie oboch, keď sa zle správa len jedna vrstva, je spôsob, akým sa päťminútová kontrola zmení na celé popoludnie.