Nödstopp kontra Tor Browser-isolering: två olika tester

Nödstopp och webbläsarens identitetsmodeller blandas ihop eftersom båda beskrivs som integritetsfunktioner. Den ena blockerar trafik på nätverkslagret, och den andra begränsar vad en webbläsarsession kan koppla samman. Att klara ett test av den första säger ingenting om den andra, och en sida som laddas i Tor Browser säger ingenting om den första. Beslutet är vilken kontroll som svarar på vilken fråga, eftersom valet avgör vilka bevis som räknas.

Två kontroller vid två gränser

Ett nödstopp är en regel om rutter: när tunneln inte är uppe släpps inte trafik som annars skulle ta en annan väg igenom. Omfattningen är det implementationen täcker, vilket kan vara hela systemet, ett program eller bara de adressfamiljer som klienten hanterar. Webbläsarisolering handlar om vad en webbplats kan observera om en besökare under en session: kakor, cachelagrat tillstånd, fingeravtryck, inloggningar. Ingen av mekanismerna kan ersätta den andra, eftersom de verkar på helt olika objekt.

Därför kan en maskin klara ett perfekt nödstoppstest och ändå läcka identitet genom en inloggning. Det motsatta händer lika ofta: en väl isolerad webbläsare på en värd vars telemetri tar en väg som policyn aldrig täckte.

Att lägga båda under en etikett är det som ger dåliga bevis, eftersom ett godkänt resultat på ena sidan då står i stället för paret. Håll dem i separata kolumner från början. Kolumnrubriken berättar också vilken artefakt testet är skyldigt dig: ett blockerat paket eller en sessionspost.

Utfallskörningen svarar på en snävare fråga

Ett kontrollerat utfall visar om klienten blockerar trafiken du testade, på plattformen du testade, så länge testet varade. Ta med adressfamiljerna, programmen och nätverksövergångarna som kravet nämner, eftersom var och en är ett eget påstående. En blockering som gäller för IPv4 och inte för IPv6 är ett verkligt fynd, och detsamma gäller en blockering som gäller i ett kabelnät men inte vid en mobil överlämning. Skriv omfattningen bredvid resultatet, eftersom ett ovillkorligt godkänt resultat är hur ett snävt test blir ett brett antagande.

Den negativa kontrollen betyder lika mycket som den positiva. Bekräfta att samma begäran lyckas medan tunneln är uppe, så att det står klart att blockeringen kom från policyn och inte från en destination som aldrig fungerade. Ett test som misslyckades i båda tillstånden bevisar ingenting, och det är värt att säga det i posten i stället för att tyst kasta bort det.

Isolering är en webbläsaregenskap, inte en rutt

Tor Browsers deklarerade design begränsar sammankoppling genom att hålla krets- och webbläsartillstånd tillsammans och genom att rensa tillstånd på begäran, och projektet dokumenterar vad det betyder i praktiken för hantering av identiteter. Den designen förutsätter den stödda konfigurationen, inte en generisk webbläsare riktad mot en proxyport. Tillägg som lagts till för bekvämlighet kan upphäva en del av isoleringen, och en fångad inloggning kopplar samman allt som följer oavsett kretsen. Det dokumenterade beteendet är kort nog att läsas direkt.

Webbläsarobservationer och nätverksobservationer svarar på olika frågor, så håll dem i separata anteckningar. En sida som laddas via Tor medan VPN:en är uppe berättar att proxyn fungerar och ingenting om VPN:ens droppbeteende. Ett blockerat paket under ett utfall säger ingenting om huruvida två inloggningar var sammankopplingsbara en timme tidigare.

Två poster, två frågor

För nödstoppet, fråga om ett namngivet program kan lämna systemet via en oönskad rutt under ett fel, och ta med ett kontrollerat utfall med ett loggmål du äger. För webbläsarisoleringen, fråga vilka konton, tillstånd och signaler som kan koppla samman två aktiviteter, och ta med ett arbetsflöde i stället för en paketfångst. Om ett andra program spelar roll, testa det programmet separat, eftersom omfattningen oftare är per program än leverantörer antyder. Två olika frågor ger två olika artefakter och en ärlig rapport.

Rita båda vägarna före testning: den normala rutten och rutten efter ett tunnelfel, för varje program i omfattningen. En ritning blottlägger gapet som en enda grön indikator döljer, eftersom den tvingar dig att namnge vad som täcks och vad som inte gör det. Gör det medan systemen är friska, när ingen står under press att förklara kontrollen avslutad.

Ingen av kontrollerna certifierar den andra, och en kombinerad uppsättning behöver båda posterna innan den kan hävda båda egenskaperna. Att hävda båda utifrån en enda grön indikator är precis det fel som detta par ska förhindra.