VPN üzerinden Tor: IP'nizi kim görüyor ve Tor kullanımınızı kim görüyor?

VPN istemcisini bağlarsınız, tüneli beklersiniz, sonra Tor Browser'ı açıp bir devre kurmasına izin verirsiniz. Kimin neyi gördüğünü tam da bu sıradan sıra belirler. Bu sırada Tor'un giriş rölesi VPN çıkış adresinizi selamlar, VPN sağlayıcınız da bir ortak koruma rölesini selamlar. Tersini yapın, iki gözlemci de değişir. İki sıra da incelenmeye değer, çünkü istemci ayarları insanların yürürlükte sandığı sırayı sessizce bozar ve bunu yakalayan kontrol her iki durumda da aynıdır.

Ürünle değil, sırayla başlayın

İki düzenlemeye «Tor'lu VPN» denir ve yalnızca birincisi yaygındır. Tor'u VPN üzerinden kullanırken Tor başladığında tünel zaten ayaktadır, bu yüzden tor süreci koruma bağlantısını diğer tüm giden trafik gibi tünele gönderir. VPN'i Tor üzerinden kullanırken önce Tor kalkar ve VPN oturumunun kendisi devreden geçerek sağlayıcıya bir Tor çıkışından ulaşır.

Aralarındaki fark, en dış halkanın uzak ucunda hangi adresin durduğudur. Her gözlemci yalnızca bir önceki atlamayı görür, asla tüm yolu değil: koruma kendisine kimin bağlandığını, VPN sunucusu da kendisine kimin bağlandığını görür. Tor yerel tünel adresinizi dışarı taşımaz ve protokolde bunu yapabileceği bir alan yoktur.

Her iki sırada da hedef web sitesi hâlâ bir Tor çıkışı görür ve hiçbir sıra o sitenin oturum açmanızdan öğrendiğini değiştirmez. Fark iki kenarla sınırlıdır.

Tor giriş rölesi ne görür

Giriş, yani koruma, bir röle bağlantı noktasında sıradan bir TCP bağlantısı kabul eder ve istemciyle TLS el sıkışması başlatır. Tor-VPN-üzerinden düzenlemesinde bu bağlantının kaynağı VPN çıkışınızdır. Önce-Tor düzenlemesinde bu, makinenizin Tor ağına ulaşmak için kullandığı adrestir, genellikle ev bağlantınızdır.

Bu, sorunun IP yarısını yanıtlar, ama yalnızca tünel bağlantıyı gerçekten taşıdıysa. Tor süreci korumaya kendi soketiyle ulaşır ve bu soket Tor Browser'ın vekil sunucu ayarlarına tabi değildir. Tarayıcı, birlikte gelen tor süreciyle 9150'deki SOCKS üzerinden konuşur, sonra tor kendi bağlantısını çekirdeğin yönlendirme tablosunu kullanarak açar. torrc'deki Socks5Proxy satırı veya bir istemci taşıması bu yolu değiştirir. Başka hiçbir şey.

Linux'ta yanıtı makineden okuyabilirsiniz. Çekirdeğe rastgele bir genel adres için hangi arayüzü kullanacağını sorun, sonra kurulan bağlantının yerel adresine bakın:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Yol dev wg0 veya dev tun0 diyorsa ve kurulan bağlantıdaki yerel adres tünel adresiyse Tor VPN'in içindedir. Yol fiziksel arayüzünüzü adlandırıyorsa dışarıdadır, istemcinin kendi göstergesi ne iddia ederse etsin.

VPN sağlayıcınız ne görebilir

Sağlayıcı VPN oturumunuzu sonlandırır, bu yüzden bağlandığınız adresleri görür. Koruma rölesi adresleri genel fikir birliğinde yayımlanır ve bağlantı noktaları iyi bilinir, bu yüzden birini eşleştirmek liste aramasıdır, derin paket denetimi değil. Sağlayıcının bir oturumun Tor olduğunu bilmek için Tor'u kırması gerekmez.

Görmediği şey devrenin geri kalanıdır. Orta röle ve çıkış Tor'un içinde seçilir ve sağlayıcı yalnızca korumaya giden halkayı işler. Sayfa içeriği çıkışta sonlanan TLS'in içinde kalır ve Tor trafiği için ad çözümlemesi de çıkışta olur, bu yüzden sağlayıcıda bir hedefle ilişkilendirilecek hiçbir DNS sorgusu yoktur.

obfs4'lü köprüler aramayı değiştirir, topolojiyi değil. Köprü adresi genel röle listesinde yoktur ve trafik Tor'a benzemeyecek şekilde biçimlendirilir, bu yüzden yalnızca adresleri karşılaştıran bir operatör onu işaretlemez. Oturum hâlâ VPN istemcinizden gelir ve sağlayıcı hâlâ tek bir uç nokta, tek bir hacim ve tek bir zaman çizelgesi görür.

Yetenek bir saklama politikası değildir

Bir bağlantıyı gözlemleyebilen operatör onu saklamaya söz vermedi. Günlükleme ayrı bir karardır, bir politikada yazılıdır, yargı yetkisiyle sınırlıdır ve yalnızca zaten güvendiğiniz kanıtlarla doğrulanabilir. Günlüksüz etiketi yukarıda anlatılan ağ rolünü değiştirmez.

Hesap kimliği genellikle çıkış adresinden daha önemlidir. Bir e-posta adresiyle oturum açtıysanız veya kartla ödediyseniz, sağlayıcı tek bir hedefi bile günlüklemeden oturumu size bağlayabilir. Çıkış IP'lerini döndürmek buna hiçbir şey yapmaz.

İki yanıttan herhangi birine güvenmeden önce kapsamı kontrol edin

Tor'u VPN üzerinden çalıştırdığına inananların çoğu yalnızca bir kısmını çalıştırır. Tor Browser'ı dışlayan bölünmüş tünelleme, tarayıcıyı kapsayan ama tor hizmetini kapsamayan bir sonlandırma anahtarı, tünel kalkmadan önce çalışan bir başlangıç birimi ve tüneli dolanan bir IPv6 yolu olağan dört tanedir.

İstemcinin durum ekranını okumak bunların hiçbirini test etmez. Test eden şu: Tor Browser'ı çalışır bırakın, tüneli indirin ve koruma bağlantısının fiziksel arayüzde hayatta kalıp kalmadığını izleyin.

Kontrol ettiğim sıra, ilk başarısızlıkta durarak:

• ip route get 203.0.113.10 tünel aygıtını döndürür.
• ss -tnp | grep -i tor koruma bağlantısını tünelin yerel adresiyle gösterir.
• ip -6 route tünel dışında varsayılan bir yolu yoktur veya istemcide IPv6 kapalıdır.
• VPN'i indirmek tor bağlantısını fiziksel halkada bırakmak yerine sonlandırır veya yeniden yönlendirir.

Hangi sıra savunduğunuz şeye uyar

İki sıra da bir şey saklar ve bir şeyi açığa çıkarır, bu yüzden yanıt önemsediğiniz gözlemciye dair bir seçimdir.

Önlemeye çalıştığınız şeye bir satır uyana kadar sütun sütun okuyun. Kaygı yerel bir ağ veya Tor'u kaydeden ya da engelleyen bir ISS ise Tor'u VPN üzerinden kullanmak bunu halleder. Kaygı VPN operatörünün ev adresinizi öğrenmesi ise VPN'i Tor üzerinden kullanmak bunu halleder ve bedelini Tor kullanımını kendi ağınıza, ev adresinizi de korumaya açıklayarak öder.

Hiçbir düzenleme iki kenarı da kör bırakmaz. Bir gözlemci eklemek diğerini kaldırmaz. Tor Project'in VPN'i Tor ile çalıştırma notu aynı şeyi diğer taraftan söyler: tünel kime güvenildiğini ve hangi hata yollarının bulunduğunu değiştirir, bu yüzden neyi saklamak istediğinize karar vermeden eklenecek bir yükseltme değildir.

Önce gözlemciye karar verin, sonra sırayı seçin ve istemcinin göstergesi yerine ip route get ve ss ile doğrulayın. Gözlemci VPN sağlayıcısını zorlayabilecek biri ise hiçbir sıra seçimi bunu düzeltmez.