Чи робить VPN перед Tor стеження за вами складнішим?

Додавання ще однієї зашифрованої ділянки до маршруту не прибирає спостерігачів; воно переміщує їх, а іноді додає ще одного. Корисна вправа — намалювати маршрут і підписати, хто що бачить на кожному кроці, бо VPN перед Tor і VPN, досягнутий через Tor, дають протилежні відповіді майже на кожне питання, яке варто поставити. Жодна зі схем не перемагає скомпрометовану кінцеву точку, і жодна не виправляє акаунт, у якому названо користувача. Проходження шляху по черзі й потім питання, що ламається, коли шар зникає, перетворюють гасло на рішення.

Пройдіть шлях і назвіть кожного спостерігача

Почніть зі звичайного випадку Tor і підпишіть кожен перехід. Локальна мережа й інтернет-провайдер бачать підключення до точки входу Tor разом з його розміром і часом. Вхідний охоронець бачить адресу клієнта, тому охоронець — це довгострокові стосунки, а не випадковий вибір. Вихідний вузол бачить пункт призначення і відкритий текст усього, що не зашифроване від кінця до кінця, а пункт призначення бачить вихідну адресу, до якої не прив'язана адреса клієнта.

Запишіть ці мітки, перш ніж щось додавати. Схема і є аргумент, і її легко перевірити.

Два порядки дають різні спостереження

VPN перед Tor означає, що трафік залишає пристрій у напрямку постачальника VPN, виходить від цього постачальника і лише потім досягає входу Tor. Локальна мережа взагалі більше не бачить Tor, і саме в цьому сенс, коли мережа блокує або відстежує його. Вхідний охоронець тепер бачить адресу VPN замість адреси користувача, а постачальник VPN бачить, що конкретний клієнт підключається до Tor з певним часовим візерунком. Цей постачальник стає новою стороною з цінним спостереженням, і його політика журналювання тепер входить до моделі загроз, а не перебуває поза нею.

Доступ до VPN через Tor перевертає порядок і перевертає те, що розкривається: пункт призначення бачить адресу VPN, вихід Tor більше не бачить пункт призначення, а постачальник VPN бачить трафік Tor, що надходить, а не домашню адресу клієнта. Це також навантажує з'єднання двома шарами затримки і потребує підтримки в клієнті, яку багато комерційних програм не надають.

Вибір між ними — це питання про те, який спостерігач важливіший, а не про те, що звучить безпечніше. Користувач, який приховує використання Tor від локальної мережі, хоче першого порядку; користувачеві, який намагається не дати пункту призначення дізнатися щось, що можна йому приписати, потрібен інший аналіз, і жоден порядок не приховує імені акаунта.

Що досі ідентифікує сеанс

Спостерігачі на рівні адреси — лише частина картини і часто не вирішальна частина. Акаунт зі входом пов'язує активність з особою незалежно від того, яка вихідна адреса несла пакет, і запис про платіж, який сервіс може пов'язати з людиною, робить те саме. Стан браузера теж додає: постійний cookie, збережений вхід або впізнаваний модуль можуть супроводжувати користувача через ланцюги, спроєктовані як незв'язувані.

Вміст, надісланий на сайт, — третій сигнал. Документ з метаданими, ім'я, набране у формі, або унікальний стиль письма переживають будь-яку кількість шарів шифрування, і жоден з інструментів перед ними не призначений це зачіпати. Чесний перелік таких ідентифікаторів захищає більше, ніж ще один перехід.

Передбачте шар, який зникає

Поведінка при відмові — це місце, де схеми справді різняться, і це властивість конфігурації, а не функція будь-якого з двох інструментів. Якщо VPN падає, поки Tor налаштований іти через нього, Tor зупиняється чи тихо перепідключається звичайним шляхом? Другий результат — не витік до пункту призначення, але він розкриває локальній мережі, що Tor використовується, а це, можливо, саме те, що схема мала запобігти.

Вимикач на рівні пристрою може забезпечити частину відповіді, відмовляючи трафіку поза тунелем, і він покриває лише трафік, який маршрутизує пристрій. Програма, виключена з тунелю, обходить цей захист, і розв'язувач, який використовується під час встановлення з'єднання, може розкрити імена навіть тоді, коли корисне навантаження залишається в тунелі. Читайте винятки й конфігурацію розв'язувача, а не припускайте, що вимикач покриває все.

Залиште пакет браузера в спокої

Захист Tor Browser залежить від того, чи поводиться весь пакет так, як задумано: власна конфігурація проксі, ізоляція між сайтами та захист від відбитків. Спрямування звичайного браузера на локальний порт Tor або додавання проксі-розширення до Tor Browser змінює припущення, на яких тримається дизайн. Власні настанови Tor Project щодо поєднання VPN з Tor розглядають поєднання як розширену конфігурацію, і ця обережність стосується саме цих взаємодій, а не постачальника VPN.

Перш ніж поєднувати інструменти, умійте простими реченнями викласти звичайний шлях, шлях відмови й роль кожного оператора. Якщо єдине обґрунтування — що два шари звучать безпечніше, то немає вимоги, проти якої проєктувати, і головне, що додалося, — це новий режим відмови.