Tor prek VPN: kdo vidi vaš IP in kdo vidi, da uporabljate Tor?

Povežete odjemalca VPN, počakate na tunel in nato odprete Tor Browser ter mu dovolite zgraditi vezje. Prav to običajno zaporedje odloča, kdo kaj vidi. V tem vrstnem redu vhodni rele Tora pozdravi naslov vašega izhoda VPN, vaš ponudnik VPN pa pozdravi javni stražarski rele. Naredite obratno in oba opazovalca se spremenita. Oba vrstna reda sta vredna pregleda, ker nastavitve odjemalca tiho lomijo vrstni red, za katerega so ljudje mislili, da velja, in preverjanje, ki to ujame, je v obeh primerih enako.

Začnite z vrstnim redom, ne z izdelkom

Dve postavitvi se imenujeta „VPN s Torom“, in običajna je le prva. Pri Toru prek VPN je tunel že vzpostavljen, ko se Tor zažene, zato proces tor pošlje svojo povezavo s stražarjem v tunel kot ves drug odhodni promet. Pri VPN prek Tora se najprej dvigne Tor in seja VPN sama potuje skozi vezje ter prispe k ponudniku z izhoda Tora.

Kar se med njima spremeni, je, kateri naslov stoji na oddaljenem koncu najbolj zunanjega člena. Vsak opazovalec vidi le prejšnji skok, nikoli celotne poti: stražar vidi, kdo se je z njim povezal, strežnik VPN pa vidi, kdo se je z njim povezal. Tor ne nosi vašega lokalnega naslova tunela navzven in v protokolu ni polja, kjer bi to lahko storil.

V obeh vrstnih redih ciljno spletišče še vedno vidi izhod Tora in noben vrstni red ne spremeni, kaj se to spletišče nauči iz vaše prijave. Razlika je omejena na dva roba.

Kaj vidi vhodni rele Tora

Vhod ali stražar sprejme običajno povezavo TCP na vratih releja in začne rokovanje TLS z odjemalcem. V postavitvi Tor-preko-VPN je vir te povezave vaš izhod VPN. V postavitvi Tor-najprej je to naslov, ki ga je vaš stroj uporabil za dostop do omrežja Tor, običajno vaša domača povezava.

To odgovori na IP polovico vprašanja, a le če je tunel povezavo res prenesel. Proces Tor doseže stražarja z lastnim vtičem in ta vtič ne podlega nastavitvam posrednika v Tor Browserju. Brskalnik govori s priloženim procesom tor prek SOCKS na 9150, nato pa tor odpre svojo povezavo z uporabo usmerjevalne tabele jedra. Vrstica Socks5Proxy v torrc ali odjemalski transport spremenita to pot. Nič drugega.

V Linuxu lahko odgovor preberete s stroja. Vprašajte jedro, kateri vmesnik bi uporabilo za poljuben javni naslov, nato poglejte lokalni naslov vzpostavljene povezave:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Če pot pravi dev wg0 ali dev tun0 in je lokalni naslov vzpostavljene povezave naslov tunela, je Tor znotraj VPN. Če pot navaja vaš fizični vmesnik, je zunaj, kar koli trdi kazalnik odjemalca.

Kaj lahko vidi vaš ponudnik VPN

Ponudnik zaključi vašo sejo VPN, zato vidi naslove, s katerimi se povezujete. Naslovi stražarskih relejev so objavljeni v javnem soglasju in njihova vrata so dobro znana, zato je ujemanje enega iskanje po seznamu, ne globok pregled paketov. Ponudniku ni treba zlomiti Tora, da bi vedel, da je seja Tor.

Česar ne vidi, je preostanek vezja. Srednji rele in izhod se izbereta znotraj Tora, ponudnik pa obravnava le člen do stražarja. Vsebina strani ostane v TLS, ki se konča na izhodu, in razreševanje imen za promet Tora poteka prav tako na izhodu, zato pri ponudniku ni nobene poizvedbe DNS, ki bi jo bilo mogoče povezati s ciljem.

Mostovi z obfs4 spremenijo iskanje, ne topologije. Naslova mostu ni na javnem seznamu relejev in promet je oblikovan tako, da ne izgleda kot Tor, zato ga operater, ki samo primerja naslove, ne bo označil. Seja še vedno prihaja iz vašega odjemalca VPN, ponudnik pa še vedno vidi eno končno točko, en obseg in en urnik.

Sposobnost ni politika hrambe

Operater, ki lahko opazuje povezavo, je ni obljubil ohraniti. Beleženje je ločena odločitev, zapisana v politiki, omejena z jurisdikcijo in preverljiva le z dokazi, ki jim že zaupate. Oznaka brez dnevnikov ne spremeni zgoraj opisane omrežne vloge.

Identiteta računa je običajno pomembnejša od izhodnega naslova. Če ste se prijavili z e-poštnim naslovom ali plačali s kartico, lahko ponudnik sejo poveže z vami, ne da bi zabeležil en sam cilj. Vrtenje izhodnih IP naslovov pri tem ne pomaga.

Preverite pokritost, preden zaupate kateremu koli od obeh odgovorov

Večina tistih, ki mislijo, da poganjajo Tor prek VPN, poganja le del tega. Razdeljeno tuneliranje, ki izključuje Tor Browser, stikalo za izklop, ki pokriva brskalnik, ne pa storitve tor, zagonska enota, ki teče pred dvigom tunela, in pot IPv6 okoli tunela so običajni štirje.

Branje zaslona stanja odjemalca ne preizkusi nobenega od njih. Preizkus, ki to stori: pustite Tor Browser delovati, spustite tunel in opazujte, ali povezava s stražarjem preživi na fizičnem vmesniku.

Vrstni red, v katerem preverjam, in se ustavim pri prvi napaki:

• ip route get 203.0.113.10 vrne napravo tunela.
• ss -tnp | grep -i tor prikaže povezavo s stražarjem z lokalnim naslovom tunela.
• ip -6 route nima privzete poti zunaj tunela ali je v odjemalcu izklopljen IPv6.
• Spustitev VPN konča ali preusmeri povezavo tor, namesto da bi jo pustila na fizični povezavi.

Kateri vrstni red ustreza temu, kar branite

Oba vrstna reda nekaj skrijeta in nekaj razkrijeta, zato je odgovor izbira opazovalca, ki vam je pomemben.

Berite po stolpcih, dokler vrstica ne ustreza temu, kar poskušate preprečiti. Če je skrb lokalno omrežje ali ponudnik dostopa, ki beleži ali blokira Tor, Tor prek VPN to reši. Če je skrb, da ponudnik VPN izve vaš domači naslov, VPN prek Tora to reši in za to plača tako, da uporabo Tora izpostavi vašemu lastnemu omrežju, domači naslov pa stražarju.

Nobena postavitev ne pušča obeh robov slepih. Dodajanje opazovalca ne odvzame drugega. Opomba Tor Project o poganjanju VPN s Torom pove isto z druge strani: tunel spremeni, komu se zaupa in katere poti okvare obstajajo, zato to ni nadgradnja, ki bi jo dodali, ne da bi se odločili, kaj ste želeli skriti.

Najprej se odločite o opazovalcu, nato izberite vrstni red in preverjajte z ip route get in ss, ne s kazalnikom odjemalca. Če je opazovalec nekdo, ki lahko prisili samega ponudnika VPN, nobena izbira vrstnega reda tega ne popravi.