Tor чи VPN: вирішуйте за тим, кому кожен шлях змушує вас довіряти
VPN збирає вашу довіру на одного оператора; Tor розподіляє її між реле. Вирішуйте за охопленням, за тим, хто може пов'язати вас із сайтом, і за тим, що ви можете перевірити.
Вибір між Tor і VPN зводиться до того, якій стороні ви можете дозволити бачити обидва кінці з'єднання. VPN концентрує цей погляд в одного оператора, якого ви обрали. Tor розподіляє його між реле, тож жодне окреме реле не повинно дізнатися, хто ви і що завантажили.
Жодна з двох схем сама по собі не робить вас анонімними. Виберіть ту, чию залишкову довіру ви можете назвати вголос, а потім виправте частини, які вона залишає відкритими.
Порахуйте, хто може пов'язати вас із пунктом призначення
З VPN кожен охоплений потік досягає виходу оператора раніше, ніж пункту призначення. Цей оператор неминуче бачить вашу адресу джерела і, для всього, що не шифрується через нього, пункт призначення, який ви запросили. TLS тримає вміст сторінки поза цим поглядом, але зазвичай залишає ім'я хоста видимим, доки встановлюється з'єднання. Тож одна сторона може пов'язати вас із сайтом, і цей зв'язок — саме та довіра, яку ви даєте.
Tor розділяє ці половини між трьома реле: охоронцем, який знає вашу адресу, але не пункт призначення, середнім реле, яке не знає жодного кінця, і виходом, який знає пункт призначення, але не вас. Схема припускає, що жодне реле не поєднує обидва факти, і це слабше та корисніше припущення, ніж довіряти одній компанії. Вона не припускає, що реле чесні, і не перемагає спостерігача, який бачить обидва кінці шляху.
Обидві схеми мають одну слабку точку, і вона в пункті призначення. Якщо ви увійдете, сервіс пов'яже цей сеанс із вашим обліковим записом незалежно від того, яким шляхом ішли пакети. Маршрутизація змінює те, звідки запит нібито надходить, а не те, що сторінка просить вас надати.
Охоплення важливіше за схему маршрутизації
VPN маршрутизує на мережевому рівні, тому кожен застосунок на пристрої успадковує тунель, якщо ви навмисно його не виключите. Саме ця широта — причина, чому він працює одночасно для поштового клієнта, менеджера пакетів і браузера.
Tor Browser — це пакет, і його захисти живуть переважно всередині браузера: єдиний відбиток, ізоляція між сайтами та скрипти, обмежені рівнем безпеки, а не встановленими вами розширеннями. Спрямувати Chrome на порт SOCKS — це купити маршрутизацію без усього цього, що часто стає джерелом недоречної самовпевненості.
Решта робочого столу залишається недоторканою. Клієнт синхронізації, оновлювач або завантажений документ, відкритий в іншій програмі, підключається так, як налаштована ця програма, і ніщо з цього не проходить через прослуховувач SOCKS, якщо ви не налаштуєте його там. Перелічіть застосунки, які спілкуються з мережею, і запитайте, які з них обраний інструмент справді охоплює. Охоплення — це властивість вашої конфігурації, а не вашого наміру.
Виберіть за трьома умовами
Рішення зазвичай зводиться до трьох питань: чи надходить трафік з одного застосунку чи з усього пристрою, чи має пункт призначення бути неспроможним визначити вашу адресу, і чи потрібно вам потрапити до приватної мережі? Дайте відповіді в цьому порядку, і інструмент найчастіше обирає себе сам.
| Requirement | Better fit | Reason |
|---|---|---|
| Every app covered, including non-browser traffic | A device VPN | Routing happens below the application, with a kill switch to stop leaks |
| Destination must not learn your address | Tor | The site sees a shared exit address rather than one tied to your account |
| Browser fingerprint that blends in | Tor Browser | The uniformity ships with the browser, a proxy alone adds none of it |
| Access to a private subnet or office resource | A VPN | Tor exits reach the public internet, not your internal routes |
Коли дві вимоги суперечать одна одній, зважте, яку ви можете забезпечити. Тунель на пристрої з дірявим списком винятків гірший за маршрут лише в браузері, який ви можете продемонструвати.
Перевірка дешева для обох шляхів, і вона має відбутися перш ніж ви покладетеся на будь-який із них:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Хибний результат першої команди означає, що запит вийшов за межі ланцюга, і саме цю помилку варто зловити рано. Порівняйте другий з адресою, яку призначив ваш провайдер, а не з тією, яку ви пам'ятаєте з минулого тижня.
Чого не виправляє жоден варіант
Шифрування застосунків усе ще виконує роботу, якої не виконує жоден маршрут. Простий HTTP, що перетинає мережу приватності, залишається читабельним на виході, і HTTPS залишається єдиним, що захищає корисне навантаження від кінця до кінця. TLS також нічого не каже про ім'я хоста, яке ви ввели, тому пункт призначення залишається видимим для кожного, хто завершує шлях.
Облікові записи ідентифікують вас, і жоден вибір маршрутизації цього не змінює: сервіс знає, хто увійшов, незалежно від адреси в заголовку. Кореляція спостерігачем, який бачить достатньо мережі, компрометація вашого власного пристрою та все, що ви вводите у форму, переживають обидві схеми. Ставтеся до обох інструментів як до способів переміщати довіру, а не видаляти її.
Почніть із конфігурації за замовчуванням, яку документує кожен проєкт, підтвердіть маршрут двома командами вище і лише потім розглядайте вкладення VPN під Tor. Вкладати їх одне в одного — це конфігурація з власними режимами відмов, а не безкоштовне оновлення.