Tor hay VPN: quyết định dựa trên việc mỗi con đường buộc bạn phải tin ai
VPN dồn niềm tin của bạn vào một nhà điều hành; Tor trải nó ra khắp các relay. Hãy quyết định theo phạm vi bao phủ, theo việc ai có thể liên kết bạn với một trang, và theo những gì bạn có thể xác minh.
Chọn giữa Tor và VPN quy về việc bạn có thể chấp nhận bên nào nhìn thấy cả hai đầu của một kết nối. VPN tập trung góc nhìn đó vào một nhà điều hành mà bạn đã chọn. Tor chia nó ra khắp các relay, nên không relay đơn lẻ nào được cho là sẽ biết bạn là ai và bạn đã lấy gì.
Cả hai cách bố trí đều không tự nó khiến bạn ẩn danh. Hãy chọn cách mà bạn có thể nói to phần niềm tin còn lại, rồi sửa những phần nó để lộ.
Đếm xem ai có thể liên kết bạn với một đích đến
Với VPN, mọi luồng được bao phủ đều đến lối ra của nhà điều hành trước khi đến đích. Nhà điều hành đó tất yếu thấy địa chỉ nguồn của bạn và, với mọi thứ không được mã hóa qua nó, đích mà bạn đã yêu cầu. TLS giữ nội dung trang ngoài góc nhìn đó nhưng thường để tên máy chủ hiển thị trong khi kết nối được thiết lập. Vì vậy một bên có thể liên kết bạn với một trang, và sự liên kết đó chính là niềm tin bạn trao.
Tor tách hai nửa đó ra ba relay: một lính gác biết địa chỉ của bạn nhưng không biết đích, một relay giữa không biết đầu nào, và một lối ra biết đích nhưng không biết bạn. Thiết kế giả định không relay đơn lẻ nào kết hợp cả hai sự thật, đây là một giả định yếu hơn và hữu ích hơn so với tin một công ty. Nó không giả định các relay trung thực và không đánh bại một quan sát viên nhìn thấy cả hai đầu đường đi.
Cả hai thiết kế có chung một điểm yếu, và nó nằm ở đích đến. Nếu bạn đăng nhập, dịch vụ liên kết phiên đó với tài khoản của bạn bất kể các gói tin đi đường nào. Định tuyến thay đổi nơi một yêu cầu có vẻ xuất phát, không phải điều trang yêu cầu bạn cung cấp.
Phạm vi bao phủ quan trọng hơn sơ đồ định tuyến
VPN định tuyến ở tầng mạng, nên mọi ứng dụng trên thiết bị đều thừa hưởng đường hầm trừ khi bạn cố ý loại trừ nó. Chính độ rộng đó là lý do nó hoạt động cho máy khách thư, trình quản lý gói và trình duyệt cùng lúc.
Tor Browser là một gói, và các biện pháp bảo vệ của nó chủ yếu sống bên trong trình duyệt: một dấu vân tay đồng nhất, cách ly giữa các trang và các script bị giới hạn bởi mức bảo mật thay vì bởi những tiện ích bạn đã cài. Hướng Chrome tới một cổng SOCKS mua được định tuyến mà không có gì trong số đó, đây là nguồn phổ biến của sự tự tin đặt sai chỗ.
Phần còn lại của màn hình không bị đụng tới. Một máy khách đồng bộ, một trình cập nhật hay một tài liệu đã tải xuống mở trong chương trình khác sẽ kết nối theo cách chương trình đó được cấu hình, và không thứ nào trong đó đi qua bộ nghe SOCKS trừ khi bạn đặt nó ở đó. Hãy liệt kê các ứng dụng nói chuyện với mạng, rồi hỏi công cụ đã chọn thực sự bao phủ những cái nào. Phạm vi bao phủ là thuộc tính của cấu hình bạn, không phải ý định bạn.
Chọn với ba điều kiện
Quyết định thường được giải bằng ba câu hỏi: lưu lượng đến từ một ứng dụng hay từ toàn bộ thiết bị, đích đến có phải không thể nhận ra địa chỉ của bạn, và bạn có cần tới một mạng riêng không? Hãy trả lời theo thứ tự đó, và công cụ thường tự chọn chính nó.
| Requirement | Better fit | Reason |
|---|---|---|
| Every app covered, including non-browser traffic | A device VPN | Routing happens below the application, with a kill switch to stop leaks |
| Destination must not learn your address | Tor | The site sees a shared exit address rather than one tied to your account |
| Browser fingerprint that blends in | Tor Browser | The uniformity ships with the browser, a proxy alone adds none of it |
| Access to a private subnet or office resource | A VPN | Tor exits reach the public internet, not your internal routes |
Khi hai yêu cầu xung đột, hãy cân nhắc cái nào bạn có thể thực thi. Một đường hầm cấp thiết bị với danh sách loại trừ bị rò rỉ tệ hơn một tuyến chỉ trình duyệt mà bạn có thể chứng minh.
Việc kiểm tra rẻ cho cả hai con đường, và nó nên diễn ra trước khi bạn dựa vào bất kỳ bên nào:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Kết quả sai từ lệnh đầu tiên nghĩa là yêu cầu đã ra ngoài mạch, và đó là lỗi đáng bắt sớm. Hãy so lệnh thứ hai với địa chỉ mà nhà cung cấp của bạn đã cấp, không phải với địa chỉ bạn nhớ từ tuần trước.
Điều mà không lựa chọn nào sửa được
Mã hóa ứng dụng vẫn làm công việc mà không tuyến nào thực hiện. HTTP thường đi qua một mạng riêng tư vẫn đọc được ở lối ra, và HTTPS vẫn là thứ duy nhất bảo vệ tải trọng từ đầu đến cuối. TLS cũng không nói gì về tên máy chủ bạn đã gõ, nên đích đến vẫn hiển thị với bất kỳ ai kết thúc đường đi.
Tài khoản nhận diện bạn, và không lựa chọn định tuyến nào thay đổi điều đó: dịch vụ biết ai đã đăng nhập bất kể địa chỉ trong tiêu đề. Tương quan bởi một quan sát viên nhìn thấy đủ mạng, sự xâm phạm thiết bị của chính bạn và mọi thứ bạn gõ vào biểu mẫu đều tồn tại qua cả hai thiết kế. Hãy coi cả hai công cụ là cách di chuyển niềm tin, không phải cách xóa bỏ nó.
Hãy bắt đầu từ cấu hình mặc định mà mỗi dự án ghi lại, xác nhận tuyến bằng hai lệnh ở trên, và chỉ sau đó mới cân nhắc xếp VPN dưới Tor. Việc lồng chúng vào nhau là một cấu hình có các chế độ hỏng riêng, không phải một nâng cấp miễn phí.