经 Tor 登录只告诉网站你是谁，不告诉它你在哪

出口地址会变，账号名却不变，而网站多年来一直在为那个账号建立档案。经 Tor 登录只去掉了一个信号——你平常的网络位置——其余画面原封不动。这仍然有点价值，但绝不是对刚刚完成身份验证的那项服务的匿名。这个区别说起来容易，在压力下却很容易忘掉。

登录本身泄露了什么

一次成功的登录，就是明确声明这个会话属于那个账号。从服务方的角度看，此后的一切都能归到该账号名下，包括看过哪些页面、发过哪些消息，以及账号在一天中的哪些时段出现。

Tor 改变的是目的地能观察到你的网络路径的什么：它看到的不是你的地址，而是一个出口中继。它不改变你通过身份验证告诉网站的内容，也不会让同一个账号的两次登录彼此无关。

账号内部的链接同样如此。恢复地址、电话号码、保存的付款方式，或在别处重复使用的昵称，都会挂到你登录时所用的身份上，与数据包走了哪条路无关。

新电路不等于新账号

Tor Browser 提供两种不同的操作，人们常把它们当成一种。为某个网站新建电路，只改变通往该目的地所用的中继路径，浏览器的私密状态并不受影响。新建身份则范围更广：它会清空浏览器状态、关闭活动并从头开始，这是另一种操作，后果也不同。

两种操作都不会要求对端忘记任何东西。已经发出的 Cookie、网站持有的会话令牌，或登录时采集的设备指纹，在路径改变之后仍然描述同一位访客。

所以对认识该账号的服务来说，全新的出口地址并不会被读成新的人。它被读成同一个账号从别处到来，而这恰恰是反欺诈系统被设计来注意的模式。这一模式不是网站的缺陷。网站只是在做你通过登录请它做的事，唯一的意外都来自期待相反的结果。

出口仍然能看到什么

除非目的地使用 HTTPS，否则出口中继会明文承载你的流量，正因如此，在这条路径上浏览器的证书检查更重要，而不是更次要。恶意出口是未加密流量的现实对手，而登录页是与它相遇的最糟场合。

HTTPS 保护内容不被出口看见 却对你选择验证的那个账号毫无作用。两种保护覆盖的是不同的观察者，谁也不替代谁。

预料到账号核查

服务方通常会用额外验证来回应 Tor 出口：验证码、邮件确认或临时冻结。这是对共享且曾被滥用的来源网段的正常反应，而不是会话已被攻破的证据。

有用的做法是把这项受支持的核查完成一次。反复更换电路直到提示消失，既不会让你更了解这个账号，还可能比原来的提示更难看。它还浪费了你原本在保护的那唯一一样东西。

如果某项核查无法完成，那是关于服务政策的信息，真正要决定的是：值得在没有隧道的情况下访问这个账号吗。两种选择都正当；把障碍硬说成缺陷则不正当。

想清楚你真正的目标是什么

人们常把两个目标混在一起：保护通往已知身份的路径，以及不让自己不同活动被关联起来。Tor 很好地服务第一个。第二个则要求根本不登录，或者只用为那个目的建立、且绝不与第一个混用的身份登录。

选工具之前先给目标命名。如果必须使用这个账号，那么诚实地说，这套安排的描述就是通往一个已知账号的私有路径，隐私主张也只应限于它真正保护的东西。