Tor of een VPN gebruiken: wat is de juiste keuze?

Tor versus een VPN: wat u daadwerkelijk nodig heeft

Tor en een VPN sturen uw netwerkverkeer beide via machines die niet van u zijn, maar ze beantwoorden verschillende vragen. Een VPN (virtual private network) verplaatst uw vertrouwen van uw internetprovider naar één bedrijf; dit bedrijf ziet vervolgens uw werkelijke adres en elke bestemming die u bezoekt. Tor verspreidt dat vertrouwen over drie relays die door verschillende personen worden beheerd, waardoor geen enkele relay zowel weet wie u bent als waar u naartoe gaat. Maak uw keuze op basis van de partij waarvoor u zich wilt verbergen.

Als die partij het netwerk is waarop u zich bevindt, dan is een VPN het juiste hulpmiddel. Als die partij de website zelf is, of iemand die de gegevens van één bedrijf kan opvragen, dan is Tor het juiste hulpmiddel. De rest van deze handleiding bevat de details achter deze twee zinnen.

Volg één verzoek door beide ontwerpen

Neem een alledaags verzoek: uw browser opent https://news.example.com. TLS (transport layer security) beschermt de inhoud van de pagina in beide gevallen, zodat niemand die zich tussen de partijen bevindt het artikel kan lezen. Het interessante deel is de metadata: wie komt uw IP-adres te weten, wie komt de bestemming te weten en wie kan die twee feiten aan elkaar koppelen? Een privacytool is een machine om dat paar uit elkaar te trekken. Een VPN verplaatst het paar naar een andere houder. Tor splitst het.

Wat elke partij ziet wanneer u een VPN gebruikt

Uw client versleutelt elk pakket en verstuurt dit naar één eindpunt. Vanaf dat eindpunt is het weer regulier verkeer.

• Uw ISP (internet service provider) ziet versleutelde pakketten tussen uw verbinding en één VPN-serveradres. De provider ziet het volume en de timing. De provider ziet niet de bestemmingshostnaam, zolang DNS (domain name system)-query's ook door de tunnel gaan.
• De VPN-aanbieder ziet uw werkelijke IP-adres aan de ene kant en elk bestemmingsadres aan de andere kant, inclusief tijden en groottes. Beide helften van het paar komen op dezelfde machine samen.
• De bestemming ziet het exit-adres van de VPN, plus elk identificerend detail dat uw browser verstuurt.

Een VPN creëert daarom geen anonimiteit. Het verplaatst de waarnemer, van uw ISP naar uw VPN-aanbieder. Dat is een reële winst wanneer het lokale netwerk het probleem is, of wanneer uw ISP verkeer filtert of doorverkoopt wat het ziet. Het is geen enkele winst tegenover de site die u bezoekt, omdat uw verkeer nog steeds aankomt als één stroom van één bedrijf dat precies weet wie u bent en uw betalingsgegevens beheert.

De "no logs"-claim is het gehele product, en het is het enige onderdeel dat u vanaf uw kant niet kunt controleren. U kunt verifiëren of de tunnel actief is. U kunt verifiëren of DNS niet lekt. U kunt niet verifiëren wat de beheerder naar de schijf schrijft. Dat is de afweging die u accepteert: één bedrijf, door u gekozen, dat het volledige overzicht heeft.

Controleer het lek dat stilletjes de tunnel ongedaan maakt:

resolvectl status
curl -s https://ifconfig.me; echo

Het adres dat door ifconfig.me wordt afgedrukt, zou het VPN-exitpunt moeten zijn. De DNS-servers die worden vermeld voor de verbinding die uw standaardroute draagt, zouden de resolver van de tunnel moeten zijn. Als deze nog steeds uw lokale router op 192.168.1.1 vermelden, verlaten uw naamopvragingen de lokale verbinding in leesbare tekst (cleartext), omdat de route naar die router on-link is en specifieker dan de standaardroute van de tunnel. Uw verkeer is privé, maar uw lijst met bezochte sites niet. DNS-query's die ontsnappen aan een WireGuard-tunnel doorloopt de oplossing.

Wat elke partij ziet wanneer u Tor gebruikt

Tor bouwt een circuit van drie relays die worden gekozen uit een ondertekende lijst, de consensus, die door een kleine groep directory authorities wordt gepubliceerd. Uw client verpakt de data in lagen, één per relay. Elke relay verwijdert één laag, leert alleen de volgende hop kennen en geeft de rest door. Die lagen zijn de reden waarom niemand in het pad beide feiten in handen heeft.

• Uw ISP ziet versleuteld verkeer naar één guard-relay. Relay-adressen zijn openbaar, dus uw ISP kan zien dat u Tor gebruikt. Het kan niet zien wat u bereikt.
• De guard-relay ziet uw echte IP-adres. Het kan de bestemming niet zien, omdat het deel van het bericht dat de site benoemt nog steeds versleuteld is voor de relays die daarna komen.
• De middle-relay ziet een guard aan de ene kant en een exit aan de andere kant. Het ziet noch u, noch de bestemming. Het bestaat zodat de guard en de exit nooit direct met elkaar communiceren.
• De exit-relay ziet de bestemming en het verkeer zodra het het netwerk verlaat. Het ziet het adres van de middle-relay, niet het uwe. Met HTTPS leert het de hostnaam en de verbindingsmetadata, niet de pagina zelf.
• De bestemming ziet het adres van de exit-relay, dat op openbare exit-lijsten staat, plus alles wat uw browser doorgeeft.

Om u aan de site te koppelen, moeten de guard en de exit tegelijkertijd worden gecontroleerd. Dat is het ontwerp in één zin. Het is ook de reden waarom uw client maandenlang dezelfde guard aanhoudt in plaats van bij elke start een nieuwe te kiezen: het constant roteren van de ingang zou een kwaadwillende relay herhaalde kansen geven om uw guard te worden.

Circuits zijn niet permanent. Nieuwe verbindingen verplaatsen zich ongeveer elke tien minuten naar een nieuw circuit, terwijl een stream die al open is, op het circuit blijft waarop deze is gestart. Een lange download en een tabblad dat u vijftien minuten later opent, verlaten het netwerk meestal via verschillende exits.

Installeer het en verifieer het pad:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Het logbestand zou Bootstrapped 100% (done): Done moeten bereiken. De curl zou {"IsTor":true,"IP":"..."} moeten printen met een adres dat u niet herkent; dit is uw huidige exit. Als IsTor gelijk is aan false, is het verzoek nooit via de proxy gegaan. De Tor-versie in de pakketbronnen van Ubuntu kan achterlopen op de huidige release; het Tor Project publiceert zijn eigen apt-repository als u de upstream-versie wilt volgen.

Eén valkuil zit in dat commando. --socks5 zorgt ervoor dat curl de hostnaam zelf oplost en vervolgens het resulterende adres via de proxy stuurt, waardoor uw normale resolver elke naam leert die u bezoekt. --socks5-hostname stuurt de naam naar Tor en laat de exit deze oplossen. Dezelfde tunnel, totaal ander lek. Tor Browser en torsocks doen dit correct. Handmatig geconfigureerde tools doen dit vaak niet.

Tor transporteert alleen TCP-streams. Het kan geen UDP transporteren, dus ping 1.1.1.1 gaat er nooit doorheen, en een op UDP gebaseerd VPN-protocol kan er niet in draaien. Elk programma dat zijn proxy-instelling negeert, gebruikt simpelweg uw normale route met uw normale adres, en niets waarschuwt u. Daarom wordt Tor op systeemniveau uitgevoerd met een transparante proxy op een aparte machine in plaats van met een omgevingsvariabele.

Waar het vertrouwen daadwerkelijk ligt

Een VPN concentreert vertrouwen. Eén bedrijf beheert uw identiteit, uw factuurgegevens en uw volledige verkeerspatroon, en uw bescherming berust op de belofte dat zij geen logs bijhouden. Zolang die belofte standhoudt, is het ontwerp overzichtelijk, snel en logisch. Wanneer dit faalt, door een dagvaarding, een inbreuk of een leugen, faalt het volledig en voor al uw verkeer tegelijkertijd.

Tor verdeelt vertrouwen. Drie partijen die elkaar grotendeels niet kennen, beheren elk een fragment, en een fragment op zichzelf is weinig waard. Niemand hoeft eerlijk te zijn om het ontwerp te laten werken. Voldoende partijen moeten onafhankelijk van elkaar opereren. U betaalt hiervoor met snelheid, met uitsluitend TCP-verkeer en met een netwerk waarin sommige relays ongetwijfeld worden beheerd door partijen die u in de gaten willen houden. Het antwoord van Tor op een kwaadwillende relay is dat één relay nooit voldoende is.

Wanneer een VPN de juiste keuze is

• U vertrouwt het lokale netwerk niet: hotel, luchthaven, conferentiehal of de router van een verhuurder. De beheerder ziet enkel een versleutelde tunnel en niets meer.
• U wilt uw eigen machines bereiken of verbinding maken vanaf een vast IP-adres dat u zelf beheert.
• U heeft snelheid en UDP nodig: voor videogesprekken, games, grote bestandsoverdrachten of back-ups.
• U wilt een stabiel adres dat niet door websites wordt geweigerd. Tor-exitnodes worden op een groot deel van het internet geblokkeerd of geteisterd door CAPTCHA's.

Deze lijst vormt de basis voor het draaien van een eigen VPN op een VPS in plaats van een abonnement af te sluiten, en een WireGuard-server die u zelf opzet geeft u een tunnel waarvan het logboekbeleid wordt bepaald door een configuratiebestand dat u zelf beheert. Als u dezelfde tunnel wilt met aanvullend sleutelbeheer tussen apparaten, dan is het verschil tussen standaard WireGuard en Tailscale de vergelijking die u moet lezen. Elk van deze opties is uitstekend geschikt voor de taken in deze lijst. Geen van deze opties is echter geschikt voor de taken in de volgende lijst.

Wanneer Tor de juiste tool is

• Uw tegenstander is de doelsite, of iedereen die gegevens kan opvragen bij één enkel bedrijf.
• U leest of publiceert informatie die schadelijk voor u zou zijn als deze naar uw verbinding kan worden herleid.
• U wilt een onion service: verkeer dat het netwerk nooit verlaat, zonder exit relay, en een server waarvan het adres verborgen blijft.
• U kunt leven met trage pagina's, CAPTCHA's en de incidentele 403 Forbidden.

Gebruik Tor Browser, niet uw dagelijkse browser die naar poort 9050 wijst. De browser vormt de helft van de bescherming, en de sectie na de volgende legt uit waarom.

Waarom een gehuurde VPS minder geschikt is dan een commerciële VPN voor anonimiteit

Dit is een punt waarover vaak misverstanden bestaan. Een VPS die u huurt, is een leaseovereenkomst die op uw naam staat. Het e-mailadres bij aanmelding, de creditcardgegevens, de facturen en de supporttickets bevinden zich in de database van één bedrijf, gekoppeld aan dat IP-adres. Niemand hoeft in te breken om het adres aan u te koppelen. Het staat al geregistreerd, wordt bewaard voor reguliere boekhoudkundige doeleinden en is beschikbaar voor iedereen die de provider een vraag stelt met juridische autoriteit.

Het tweede probleem is de massa. Het exit-adres van een commerciële VPN wordt op hetzelfde moment door vele klanten gedeeld, waardoor dat adres alleen niet naar één persoon wijst. Uw VPS-adres is alleen van u. Elk verzoek dat vanaf dat adres vertrekt, is afkomstig van u, vandaag en volgende maand. Omdat het adres niet roteert, kan een bestemming over maanden heen een profiel opbouwen zonder dat daar cookies voor nodig zijn.

Dit betekent niet dat een zelfgehoste VPN een slecht idee is. Het is zeer effectief voor het versleutelen van uw netwerkverkeer op een netwerk dat u niet beheert, en voor het bereiken van uw eigen services vanaf elke locatie. Het is simpelweg geen hulpmiddel voor anonimiteit, en het als zodanig gebruiken is een vergissing. Voor een helder overzicht van wat uw provider wel en niet kan zien op de machine zelf, leest u hoe veilig VPS-hosting werkelijk is.

Wat noch Tor, noch een VPN oplost

• Browser fingerprinting. Uw user agent, schermresolutie, tijdzone, geïnstalleerde lettertypes, taal en canvas-rendering vormen samen een waarde die vaak uniek is. Deze volgt u over elk IP-adres dat u gebruikt. Tor Browser gaat dit tegen door zijn gebruikers er identiek uit te laten zien en het venster in vaste stappen te schalen. Uw normale browser achter een SOCKS-proxy behoudt zijn fingerprint en cookies.
• Inloggen. Zodra u inlogt op een account dat uw naam kent, is de netwerklaag niet langer relevant. Eén keer inloggen vanaf huis en één keer via Tor op hetzelfde account koppelt beide sessies aan elkaar.
• Alles wat het eindpunt sowieso registreert: wat u heeft getypt, wat u heeft gekocht en waar u naar heeft gezocht.
• End-to-end correlatie. Iemand die zowel uw verbinding als het exit-node verkeer observeert, kan timing en pakketvolumes vergelijken en beide uiteinden aan elkaar koppelen. Tor stelt expliciet dat het niet beschermt tegen een tegenstander die beide kanten van de verbinding kan inzien.

Kunt u Tor en een VPN tegelijkertijd gebruiken?

Tor over VPN betekent dat de VPN als eerste verbinding maakt en Tor daarbinnen draait. Uw ISP ziet dan alleen de VPN, en de guard relay ziet het adres van de VPN in plaats van het uwe. U heeft hiermee ook een bedrijf dat uw naam en creditcardgegevens bezit, geplaatst voor een systeem dat juist is ontworpen om dat te vermijden. Het is in één situatie de moeite waard: wanneer het gebruik van Tor op uw verbinding gevaarlijk is en u geen betere optie heeft.

VPN over Tor, waarbij verkeer het Tor-netwerk verlaat en vervolgens een VPN-account ingaat, is moeilijker in te stellen en meestal slechter. Dat account is gekoppeld aan uw betalingsgegevens, waardoor u een stabiele identiteit heeft gekoppeld aan verkeer dat een moment daarvoor nog anoniem was.

Als het doel enkel is om het gebruik van Tor te verbergen voor uw ISP, is het ondersteunde antwoord een bridge: een toegangspunt dat niet in de publieke consensus staat, gecombineerd met een pluggable transport zoals obfs4 of Snowflake dat het verkeer moeilijk classificeerbaar maakt. Tor Browser wordt geleverd met beide, en er is geen derde partij die uw naam nodig heeft.

FAQ

Is Tor gewoon een gratis VPN?

Nee. Een VPN stuurt uw verkeer via één server die door één bedrijf wordt beheerd; dit bedrijf ziet uw echte adres en elke bestemming, waardoor u uw ISP inruilt voor een door u gekozen aanbieder. Tor stuurt verkeer via drie relays die door verschillende personen worden beheerd, waarbij de guard u ziet maar niet de site, en de exit de site ziet maar niet u. Tor ondersteunt bovendien alleen TCP, is merkbaar trager en wordt door veel websites geblokkeerd of uitgedaagd, waardoor het geen directe vervanging is voor het dagelijks gebruik van een VPN.

Kan mijn ISP zien dat ik Tor gebruik?

Standaard wel. Relay-adressen worden gepubliceerd in de openbare consensus, dus uw provider kan zien dat u verbinding maakt met een bekende guard-relay. De provider kan niet zien welke sites u bezoekt. Om het gebruik zelf te verbergen, biedt Tor Browser bridges aan met een pluggable transport zoals obfs4 of Snowflake, die verbinding maken via een toegangspunt dat niet op de openbare lijst staat. Een VPN vóór Tor verbergt dit eveneens voor uw ISP, maar legt datzelfde feit in plaats daarvan bij de VPN-aanbieder neer.

Maakt het draaien van een VPN op mijn eigen VPS mij anoniem?

Nee. De server wordt op uw naam gehuurd met uw betaalkaart, dus de factuurgegevens van de aanbieder koppelen dat adres al aan u; een verzoek aan de aanbieder is voldoende om deze gegevens in te zien. Het adres wordt ook alleen door u gebruikt, dus alles wat vanaf dat adres vertrekt, is herleidbaar naar één persoon en blijft koppelbaar zolang u de server behoudt. Een zelfgehoste VPN is een krachtig privacyhulpmiddel tegen het lokale netwerk, maar een zwak anonimiseringsmiddel tegen iedereen die uw aanbieder kan ondervragen.

Waarom blokkeren websites mij of tonen ze CAPTCHA's wanneer ik Tor gebruik?

Omdat exit-relay-adressen openbaar zijn en door zeer veel mensen worden gedeeld, wordt misbruik door een van die gebruikers gekoppeld aan het adres dat u op dat moment gebruikt. Content Delivery Networks geven deze adressen een lage reputatie en reageren met een uitdaging, een 403 Forbidden, of een aanmeldformulier dat weigert te verzenden. Niets aan uw kant lost dit op. Een nieuw circuit geeft u een andere exit, die soms een betere reputatie heeft.

Als ik een VPN gebruik, lek ik dan nog steeds mijn DNS-query's?

Dat kan, en het komt vaak voor. Bij een volledige tunnel zonder ingestelde resolver voor de tunnelinterface, behoudt uw client de resolver die deze van het lokale netwerk heeft geleerd. De route naar die resolver is on-link en heeft daardoor voorrang op de standaardroute van de tunnel. Uw query's verlaten het netwerk dan in leesbare tekst (cleartext), terwijl al het overige verkeer versleuteld is. Voer resolvectl status uit en bevestig dat de DNS-server die wordt vermeld voor de verbinding die uw standaardroute draagt, de resolver van de tunnel is en niet uw lokale router.