Tor alebo VPN: rozhodnite sa podľa toho, komu vás každá cesta núti dôverovať
VPN vrší vašu dôveru na jedného operátora; Tor ju rozdeľuje medzi relé. Rozhodujte sa podľa pokrytia, podľa toho, kto vás môže prepojiť so stránkou, a podľa toho, čo môžete overiť.
Voľba medzi Tor a VPN sa redukuje na to, ktorej strane dokážete tolerovať vidieť oba konce spojenia. VPN sústreďuje ten pohľad na jedného operátora, ktorého ste si vybrali. Tor ho rozdeľuje medzi relé, takže žiadne jednotlivé relé nemá zistiť, kto ste a čo ste stiahli.
Ani jedno usporiadanie vás samo o sebe nerobí anonymnými. Vyberte to, ktorého zostávajúcu dôveru dokážete vysloviť nahlas, a potom opravte časti, ktoré necháva odkryté.
Spočítajte, kto vás môže prepojiť s cieľom
Pri VPN každý pokrytý tok dorazí k výstupu operátora skôr, než dorazí k cieľu. Tento operátor nutne vidí vašu zdrojovú adresu a pri všetkom, čo cez neho nie je šifrované, aj cieľ, ktorý ste žiadali. TLS drží obsah stránky mimo tohto pohľadu, ale zvyčajne ponecháva viditeľné meno hostiteľa, kým sa spojenie nadväzuje. Jedna strana vás teda môže prepojiť so stránkou, a toto prepojenie je presne tou dôverou, ktorú dávate.
Tor rozdeľuje tieto polovice medzi tri relé: strážcu, ktorý pozná vašu adresu, ale nie cieľ, stredné relé, ktoré nepozná ani jeden koniec, a výstup, ktorý pozná cieľ, ale nie vás. Návrh predpokladá, že žiadne relé nespája oba fakty, čo je slabší a užitočnejší predpoklad ako dôvera v jednu firmu. Nepredpokladá, že relé sú čestné, a neporáža pozorovateľa, ktorý sleduje oba konce cesty.
Oba návrhy zdieľajú jeden slabý bod a ten leží v cieli. Ak sa prihlásite, služba prepojí túto reláciu s vaším účtom bez ohľadu na to, akou cestou pakety dorazili. Smerovanie mení, odkiaľ žiadosť zdanlivo prichádza, nie čo po vás stránka žiada, aby ste poskytli.
Pokrytie je dôležitejšie než schéma smerovania
VPN smeruje na sieťovej vrstve, takže každá aplikácia v zariadení dedí tunel, ak ju zámerne nevylúčite. Práve táto šírka je dôvod, prečo funguje súčasne pre poštového klienta, správcu balíkov aj prehliadač.
Tor Browser je balík a jeho ochrany žijú prevažne vnútri prehliadača: jednotný odtlačok, izolácia medzi stránkami a skripty obmedzené úrovňou zabezpečenia, nie rozšíreniami, ktoré ste nainštalovali. Nasmervanie Chrome na port SOCKS kúpi smerovanie bez čohokoľvek z toho, čo je častý zdroj nesprávnej istoty.
Zvyšok pracovnej plochy zostáva nedotknutý. Synchronizačný klient, aktualizátor alebo stiahnutý dokument otvorený v inom programe sa pripája tak, ako je tento program nakonfigurovaný, a nič z toho neprechádza cez poslucháč SOCKS, ak to tam nenastavíte. Vymenujte aplikácie, ktoré komunikujú so sieťou, a potom sa spýtajte, ktoré z nich vybraný nástroj skutočne pokrýva. Pokrytie je vlastnosť vašej konfigurácie, nie vášho úmyslu.
Vyberte podľa troch podmienok
Rozhodnutie sa zvyčajne vyrieši tromi otázkami: prichádza prevádzka z jednej aplikácie alebo z celého zariadenia, musí byť cieľ neschopný identifikovať vašu adresu, a potrebujete dosiahnuť privátnu sieť? Odpovedzte v tomto poradí a nástroj sa väčšinou vyberie sám.
| Requirement | Better fit | Reason |
|---|---|---|
| Every app covered, including non-browser traffic | A device VPN | Routing happens below the application, with a kill switch to stop leaks |
| Destination must not learn your address | Tor | The site sees a shared exit address rather than one tied to your account |
| Browser fingerprint that blends in | Tor Browser | The uniformity ships with the browser, a proxy alone adds none of it |
| Access to a private subnet or office resource | A VPN | Tor exits reach the public internet, not your internal routes |
Keď si dva požiadavky odporujú, zvážte, ktorý dokážete presadiť. Tunel v zariadení s deravým zoznamom výnimiek je horší než cesta len v prehliadači, ktorú dokážete predviesť.
Overenie je lacné pre obe cesty a malo by sa uskutočniť skôr, než sa na ktorúkoľvek spoľahnete:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Falošný výsledok prvého príkazu znamená, že žiadosť vyšla mimo okruhu, a to je zlyhanie, ktoré stojí za to zachytiť skoro. Porovnajte druhý s adresou, ktorú vám pridelil poskytovateľ, nie s tou, ktorú si pamätáte z minulého týždňa.
Čo ani jedna možnosť neopraví
Šifrovanie aplikácií stále robí prácu, ktorú nevykonáva žiadna cesta. Obyčajný HTTP prechádzajúci sieťou súkromia zostáva na výstupe čitateľný a HTTPS zostáva jedinou vecou, ktorá chráni obsah od konca ku koncu. TLS tiež nič nehovorí o mene hostiteľa, ktoré ste napísali, a preto cieľ zostáva viditeľný pre každého, kto cestu ukončuje.
Účty vás identifikujú a žiadna voľba smerovania to nezmení: služba vie, kto sa prihlásil, bez ohľadu na adresu v hlavičke. Korelácia pozorovateľom, ktorý vidí dosť siete, kompromitácia vášho vlastného zariadenia a všetko, čo napíšete do formulára, prežívajú oba návrhy. Berte oba nástroje ako spôsoby presúvania dôvery, nie jej mazania.
Začnite s predvolenou konfiguráciou, ktorú dokumentuje každý projekt, potvrďte cestu dvoma príkazmi vyššie a až potom zvažujte vrstvenie VPN pod Tor. Vnáranie ich do seba je konfigurácia s vlastnými režimami zlyhania, nie bezplatné vylepšenie.