Tor cez VPN: kto vidí vašu IP a kto vidí, že používate Tor?

Pripojíte klienta VPN, počkáte na tunel a potom otvoríte Tor Browser a necháte ho postaviť okruh. Práve toto obyčajné poradie rozhoduje, kto čo vidí. V tomto poradí vstupný relay Tora pozdraví adresu vášho výstupu VPN a váš poskytovateľ VPN pozdraví verejný strážny relay. Urobte to opačne a obaja pozorovatelia sa zmenia. Obe poradia stoja za prejdenie, pretože nastavenia klienta potichu lámu poradie, o ktorom si ľudia mysleli, že platí, a kontrola, ktorá to zachytí, je v oboch prípadoch rovnaká.

Začnite poradím, nie produktom

Dve usporiadania sa nazývajú „VPN s Torom“ a bežné je len prvé. Pri Tore cez VPN je tunel už hore, keď Tor štartuje, takže proces tor posiela svoje spojenie so strážcom do tunela ako akúkoľvek inú odchádzajúcu prevádzku. Pri VPN cez Tor sa najprv zdvihne Tor a samotná relácia VPN putuje okruhom a dorazí k poskytovateľovi z výstupu Tora.

Čo sa medzi nimi mení, je to, ktorá adresa stojí na vzdialenom konci najvzdialenejšieho článku. Každý pozorovateľ vidí len predchádzajúci skok, nikdy celú cestu: strážca vidí, kto sa k nemu pripojil, a server VPN vidí, kto sa k nemu pripojil. Tor nepremiestňuje vašu lokálnu adresu tunela von a v protokole nie je pole, kde by to mohol urobiť.

V oboch poradiach cieľový web stále vidí výstup Tora a ani jedno poradie nemení to, čo sa ten web dozvie z vášho prihlásenia. Rozdiel je obmedzený na dva okraje.

Čo vidí vstupný relay Tora

Vstup, alebo strážca, prijíma bežné TCP spojenie na relay porte a začína TLS handshake s klientom. Pri usporiadaní Tor-cez-VPN je zdrojom tohto spojenia váš výstup VPN. Pri usporiadaní Tor-najprv je to adresa, ktorú váš stroj použil na dosiahnutie siete Tor, zvyčajne vaše domáce pripojenie.

To odpovedá na IP polovicu otázky, ale len ak tunel spojenie skutočne preniesol. Proces Tor dosiahne strážcu vlastným socketom a tento socket sa neriadi nastaveniami proxy v Tor Browseri. Prehliadač hovorí s priloženým procesom tor cez SOCKS na 9150 a tor potom otvorí vlastné spojenie pomocou smerovacej tabuľky jadra. Riadok Socks5Proxy v torrc alebo klientsky transport túto cestu menia. Nič iné.

Na Linuxe odpoveď prečítate zo stroja. Spýtajte sa jadra, ktoré rozhranie by použilo pre ľubovoľnú verejnú adresu, a potom sa pozrite na lokálnu adresu nadviazaného spojenia:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ak trasa hovorí dev wg0 alebo dev tun0 a lokálna adresa nadviazaného spojenia je adresa tunela, Tor je vnútri VPN. Ak trasa menuje vaše fyzické rozhranie, je vonku, čokoľvek tvrdí indikátor klienta.

Čo môže vidieť váš poskytovateľ VPN

Poskytovateľ ukončuje vašu reláciu VPN, takže vidí adresy, ku ktorým sa pripájate. Adresy strážnych relayov sa zverejňujú vo verejnom konsenze a ich porty sú dobre známe, takže spárovanie jedného je hľadanie v zozname, nie hĺbková inšpekcia paketov. Poskytovateľ nemusí lámať Tor, aby vedel, že relácia je Tor.

Čo nevidí, je zvyšok okruhu. Stredný relay a výstup sa vyberajú vnútri Tora a poskytovateľ spracúva len článok ku strážcovi. Obsah stránky zostáva v TLS, ktoré sa končí na výstupe, a preklad mien pre prevádzku Tora sa deje tiež na výstupe, takže u poskytovateľa nie je žiadna DNS požiadavka, ktorú by bolo možné skorelovať s cieľom.

Mosty s obfs4 menia hľadanie, nie topológiu. Adresa mosta chýba vo verejnom zozname relayov a prevádzka sa tvaruje tak, aby nevyzerala ako Tor, takže operátor, ktorý len porovnáva adresy, ju neoznačí. Relácia stále prichádza z vášho klienta VPN a poskytovateľ stále vidí jeden koncový bod, jeden objem a jeden rozvrh.

Schopnosť nie je politika uchovávania

Operátor, ktorý môže sledovať spojenie, nesľúbil, že ho bude uchovávať. Logovanie je samostatné rozhodnutie, zapísané v politike, obmedzené jurisdikciou a overiteľné len dôkazmi, ktorým už dôverujete. Označenie bez logov nemení vyššie opísanú sieťovú rolu.

Identita účtu je zvyčajne dôležitejšia ako výstupná adresa. Ak ste sa prihlásili e-mailovou adresou alebo platili kartou, poskytovateľ môže reláciu spojiť s vami bez zalogovania jediného cieľa. Rotácia výstupných IP adries na tom nič nemení.

Predtým, než uveríte ktorejkoľvek odpovedi, skontrolujte pokrytie

Väčšina ľudí, ktorí si myslia, že prevádzkujú Tor cez VPN, prevádzkuje len jeho časť. Rozdelené tunelovanie, ktoré vylučuje Tor Browser, kill switch pokrývajúci prehliadač ale nie službu tor, štartovacia jednotka bežiaca pred zdvihnutím tunela a cesta IPv6 mimo tunela sú obvyklé štyri.

Čítanie stavovej obrazovky klienta netestuje ani jedno z nich. Test, ktorý to robí: nechajte Tor Browser bežať, zložte tunel a sledujte, či spojenie so strážcom prežije na fyzickom rozhraní.

Poradie, v ktorom kontrolujem, a zastavím pri prvom zlyhaní:

• ip route get 203.0.113.10 vracia zariadenie tunela.
• ss -tnp | grep -i tor zobrazuje spojenie so strážcom s lokálnou adresou tunela.
• ip -6 route nemá predvolenú trasu mimo tunela, alebo je v klientovi vypnuté IPv6.
• Zloženie VPN ukončí alebo presmeruje spojenie tor namiesto toho, aby ho nechalo na fyzickom spoji.

Ktoré poradie sedí tomu, čo bránite

Obe poradia niečo skrývajú a niečo odhaľujú, takže odpoveď je voľba pozorovateľa, na ktorom vám záleží.

Čítajte po stĺpcoch, kým riadok neodpovedá tomu, čomu sa snažíte zabrániť. Ak je obavou miestna sieť alebo poskytovateľ pripojenia, ktorý Tor zaznamenáva alebo blokuje, Tor cez VPN to rieši. Ak je obavou, že sa operátor VPN dozvie vašu domácu adresu, VPN cez Tor to rieši a platí za to tým, že vystavuje používanie Tora vašej vlastnej sieti a domácu adresu strážcovi.

Ani jedno usporiadanie nenecháva oba okraje slepé. Pridanie pozorovateľa neodoberá iného. Poznámka Tor Projectu o prevádzke VPN s Torom hovorí to isté z druhej strany: tunel mení, komu sa verí a aké cesty zlyhania existujú, takže to nie je vylepšenie, ktoré sa pridáva bez rozhodnutia, čo ste chceli skryť.

Najprv rozhodnite o pozorovateľovi, potom vyberte poradie a overujte pomocou ip route get a ss, nie indikátorom klienta. Ak je pozorovateľom niekto, kto môže prinútiť samotného poskytovateľa VPN, žiadna voľba poradia to nespraví.