Gör en VPN framför Tor det svårare att övervaka dig?

Att lägga till ännu ett krypterat avsnitt på en väg tar inte bort observatörerna; det flyttar dem och lägger ibland till en. Den nyttiga övningen är att rita vägen och märka vem som ser vad vid varje steg, eftersom en VPN framför Tor och en VPN som nås genom Tor ger motsatta svar på nästan varje fråga som är värd att ställa. Ingen av de två uppställningarna besegrar en komprometterad slutpunkt, och ingen av dem reparerar ett konto som namnger användaren. Att gå vägen i ordning och sedan fråga vad som går sönder när ett lager försvinner gör en slogan till ett beslut.

Gå vägen och namnge varje observatör

Börja med det vanliga Tor-fallet och märk varje hopp. Det lokala nätet och internetleverantören ser en anslutning till en Tor-ingång, tillsammans med storleken och tidpunkten. Ingångsvakten ser klientens adress, och därför är vakten en långvarig relation i stället för ett slumpmässigt val. Utgångsnoden ser destinationen och klartexten för allt som inte är krypterat från ände till ände, medan destinationen ser en utgångsadress utan någon klientadress knuten till sig.

Skriv ner de märkena innan du lägger till något. Diagrammet är argumentet, och det är lätt att kontrollera.

Två ordningar ger olika observationer

En VPN placerad framför Tor innebär att trafiken lämnar enheten mot VPN-leverantören, lämnar den leverantören och först därefter når en Tor-ingång. Det lokala nätet ser inte Tor alls längre, och det är hela poängen när ett nätverk blockerar eller övervakar det. Ingångsvakten ser nu VPN:ens adress i stället för användarens, och VPN-leverantören ser att en viss kund ansluter till Tor med ett visst tidsmönster. Den leverantören blir en ny part med en värdefull observation, och dess loggningspolicy är nu en del av hotmodellen i stället för utanför den.

Att nå en VPN genom Tor vänder ordningen och vänder också det som exponeras: destinationen ser VPN:ens adress, Tor-utgången ser inte längre destinationen, och VPN-leverantören ser Tor-trafik som anländer i stället för en kunds hemadress. Det belastar också anslutningen med två lager latens och kräver klientstöd som många kommersiella program inte erbjuder.

Att välja mellan dem är en fråga om vilken observatör som betyder mest, inte om vilken som låter säkrare. En användare som döljer Tor-användning för ett lokalt nät vill ha den första ordningen; en användare som försöker hindra en destination från att lära sig något som kan tillskrivas honom behöver en annan analys, och ingen av ordningarna döljer ett kontonamn.

Vad som fortfarande identifierar sessionen

Observatörer på adressnivå är bara en del av bilden, och ofta inte den avgörande delen. Ett inloggat konto binder aktiviteten till en identitet oavsett vilken utgångsadress som bar paketet, och en betalningspost som tjänsten kan koppla till en person gör detsamma. Webbläsarens tillstånd bidrar också: en beständig cookie, en sparad inloggning eller ett identifierande tillägg kan följa en användare genom kretsar som designades för att vara olinkbara.

Innehåll som skickas till en webbplats är den tredje signalen. Ett dokument med metadata, ett namn som skrivits i ett formulär eller en unik skrivstil överlever hur många krypteringslager som helst, och inget av verktygen framför dem är byggt för att röra vid det. Att föra en ärlig lista över dessa identifierare skyddar mer än att lägga till ännu ett hopp.

Planera för ett lager som försvinner

Beteendet vid fel är där uppställningarna verkligen skiljer sig, och det är en konfigurationsegenskap snarare än en funktion hos något av verktygen. Om VPN:en faller medan Tor är inställt på att gå genom den, stannar Tor då, eller återansluter det tyst via den vanliga vägen? Det andra utfallet är inte en läcka till destinationen, men det avslöjar för det lokala nätet att Tor används, vilket kanske var precis det som uppställningen skulle förhindra.

En kill switch på enhetsnivå kan upprätthålla en del av svaret genom att neka trafik utanför tunneln, och den täcker bara trafik som enheten dirigerar. Ett program som undantas från tunneln kringgår det skyddet, och en resolver som används vid uppkopplingen kan avslöja namn även när nyttolasten stannar i tunneln. Läs undantagen och resolverns konfiguration i stället för att anta att omkopplaren täcker allt.

Låt webbläsarpaketet vara ifred

Tor Browsers skydd beror på att hela paketet beter sig som designat: dess egen proxykonfiguration, isoleringen mellan webbplatser och fingeravtrycksförsvaret. Att peka en vanlig webbläsare mot en lokal Tor-port, eller lägga till ett proxytillägg i Tor Browser, ändrar antaganden som designen vilar på. Tor Projects egen vägledning om att kombinera en VPN med Tor behandlar kombinationen som en avancerad konfiguration, och den försiktigheten handlar om dessa interaktioner och inte om VPN-leverantören.

Innan du kombinerar verktyg ska du kunna säga den vanliga vägen, felvägen och varje operatörs roll i enkla meningar. Om den enda motiveringen är att två lager låter säkrare finns det inget krav att designa emot, och det tillagda felläget är det viktigaste som lades till.