Tor czy VPN: co wybrać dla ochrony prywatności?

Tor a VPN: czego faktycznie potrzebujesz

Zarówno Tor, jak i VPN przesyłają ruch sieciowy przez maszyny niebędące własnością użytkownika, jednak służą do rozwiązywania odmiennych problemów. VPN (virtual private network) przenosi zaufanie z dostawcy usług internetowych na jedną firmę, która widzi rzeczywisty adres IP użytkownika oraz wszystkie odwiedzane przez niego witryny. Tor rozprasza to zaufanie pomiędzy trzy przekaźniki obsługiwane przez różne podmioty, dzięki czemu żaden z nich nie zna jednocześnie tożsamości użytkownika oraz celu jego połączenia. Wybór narzędzia zależy od tego, przed kim ukrywana jest aktywność.

Jeśli podmiotem tym jest sieć, w której aktualnie znajduje się użytkownik, właściwym narzędziem jest VPN. Jeśli natomiast podmiotem tym jest sama witryna internetowa lub ktokolwiek, kto może wymusić udostępnienie logów od jednej firmy, właściwym narzędziem jest Tor. Dalsza część tego przewodnika zawiera szczegółowe uzasadnienie tych dwóch stwierdzeń.

Analiza pojedynczego żądania w obu architekturach

Rozważmy typowe żądanie: przeglądarka otwiera https://news.example.com. Protokół TLS (transport layer security) chroni zawartość strony w obu przypadkach, dzięki czemu osoby trzecie nie mogą odczytać treści artykułu. Istotne są metadane: kto poznaje adres IP użytkownika, kto poznaje cel połączenia oraz kto może powiązać te dwie informacje. Narzędzie zapewniające prywatność służy do rozdzielenia tej pary danych. VPN przenosi tę parę do innego podmiotu. Tor dokonuje jej rozdzielenia.

Co widzą poszczególne strony podczas korzystania z VPN

Klient szyfruje każdy pakiet i wysyła go do jednego punktu końcowego. Od tego punktu ruch staje się ponownie zwykłym ruchem sieciowym.

• Twój ISP (dostawca usług internetowych) widzi zaszyfrowane pakiety przesyłane między Twoim łączem a adresem jednego serwera VPN. Widzi wolumen danych i czas ich przesyłania. Nie widzi nazwy hosta docelowego, o ile zapytania DNS (system nazw domenowych) również przechodzą przez tunel.
• Operator VPN widzi Twój rzeczywisty adres IP po jednej stronie oraz każdy adres docelowy po drugiej, wraz z czasem i rozmiarem przesyłanych danych. Obie części pary trafiają na tę samą maszynę.
• Serwis docelowy widzi adres wyjściowy VPN oraz wszystkie szczegóły identyfikacyjne przesyłane przez Twoją przeglądarkę.

VPN nie zapewnia zatem anonimowości. Przenosi jedynie obserwatora z Twojego ISP na dostawcę VPN. Jest to realna korzyść, gdy problemem jest sieć lokalna lub gdy ISP filtruje bądź odsprzedaje dane o Twojej aktywności. Nie daje to żadnej przewagi w relacji z odwiedzaną stroną, ponieważ ruch nadal dociera jako jeden strumień od firmy, która dokładnie wie, kim jesteś i posiada Twoje dane płatnicze.

Deklaracja "no logs" stanowi istotę produktu i jest jedynym elementem, którego nie można zweryfikować po swojej stronie. Możesz sprawdzić, czy tunel jest aktywny. Możesz sprawdzić, czy DNS nie wycieka. Nie możesz jednak sprawdzić, co operator zapisuje na dysku. Jest to kompromis, na który się godzisz: jedna firma, wybrana przez Ciebie, posiada pełny obraz Twojej aktywności.

Sprawdź wyciek, który po cichu unieważnia działanie tunelu:

resolvectl status
curl -s https://ifconfig.me; echo

Adres wyświetlony przez ifconfig.me powinien być adresem wyjściowym VPN. Serwery DNS wymienione dla łącza obsługującego domyślną trasę powinny być resolverami tunelu. Jeśli nadal widnieje tam Twój lokalny router pod adresem 192.168.1.1, zapytania o nazwy są wysyłane przez łącze lokalne otwartym tekstem, ponieważ trasa do tego routera jest bezpośrednia (on-link) i bardziej szczegółowa niż domyślna trasa tunelu. Twój ruch jest prywatny, ale lista odwiedzanych stron nie. Wyciek zapytań DNS poza tunel WireGuard zawiera opis rozwiązania tego problemu.

Co widzą poszczególne strony podczas korzystania z Tor

Tor buduje obwód składający się z trzech przekaźników wybranych z podpisanej listy, zwanej konsensusem, publikowanej przez niewielki zestaw organów katalogowych (directory authorities). Klient owija dane w warstwy, po jednej na każdy przekaźnik. Każdy przekaźnik usuwa jedną warstwę, poznaje tylko kolejny przeskok i przekazuje resztę dalej. Te warstwy sprawiają, że nikt na ścieżce nie posiada obu informacji jednocześnie.

• Twój dostawca usług internetowych (ISP) widzi zaszyfrowany ruch do jednego przekaźnika wejściowego (guard relay). Adresy przekaźników są publiczne, więc ISP wie, że korzystasz z sieci Tor. Nie wie jednak, z jakimi zasobami się łączysz.
• Przekaźnik wejściowy widzi Twój rzeczywisty adres IP. Nie widzi miejsca docelowego, ponieważ część wiadomości zawierająca nazwę witryny jest nadal zaszyfrowana dla kolejnych przekaźników.
• Przekaźnik środkowy widzi przekaźnik wejściowy z jednej strony i wyjściowy z drugiej. Nie widzi ani Ciebie, ani miejsca docelowego. Istnieje po to, aby przekaźnik wejściowy i wyjściowy nigdy nie komunikowały się bezpośrednio.
• Przekaźnik wyjściowy (exit relay) widzi miejsce docelowe oraz ruch opuszczający sieć. Widzi adres przekaźnika środkowego, a nie Twój. W przypadku HTTPS poznaje nazwę hosta i metadane połączenia, ale nie treść strony.
• Miejsce docelowe widzi adres przekaźnika wyjściowego, który znajduje się na publicznych listach wyjść, oraz wszystko to, co przekazuje Twoja przeglądarka.

Powiązanie użytkownika z witryną wymaga jednoczesnego kontrolowania przekaźnika wejściowego i wyjściowego. To założenie projektowe w jednym zdaniu. Jest to również powód, dla którego klient utrzymuje ten sam przekaźnik wejściowy przez miesiące, zamiast wybierać nowy przy każdym uruchomieniu: ciągła rotacja punktów wejścia dawałaby wrogiemu przekaźnikowi wielokrotną szansę na zostanie Twoim przekaźnikiem wejściowym.

Obwody nie są trwałe. Nowe połączenia są przenoszone do świeżego obwodu mniej więcej co dziesięć minut, podczas gdy strumień, który jest już otwarty, pozostaje w obwodzie, w którym się rozpoczął. Długie pobieranie pliku i karta otwarta piętnaście minut później zazwyczaj wychodzą z sieci przez różne przekaźniki wyjściowe.

Zainstaluj oprogramowanie i sprawdź ścieżkę:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Dziennik powinien dotrzeć do Bootstrapped 100% (done): Done. Polecenie curl powinno wyświetlić {"IsTor":true,"IP":"..."} z adresem, którego nie rozpoznajesz – jest to Twój aktualny przekaźnik wyjściowy. Jeśli IsTor to false, żądanie nigdy nie przeszło przez proxy. Pakietowa wersja Tor w systemie Ubuntu może być opóźniona względem bieżącego wydania; Tor Project publikuje własne repozytorium apt, jeśli musisz korzystać z wersji upstream.

W tym poleceniu kryje się jedna pułapka. --socks5 sprawia, że curl samodzielnie rozwiązuje nazwę hosta, a następnie wysyła wynikowy adres przez proxy, więc Twój standardowy resolver poznaje każdą odwiedzaną nazwę. --socks5-hostname wysyła nazwę do sieci Tor i pozwala przekaźnikowi wyjściowemu na jej rozwiązanie. Ten sam tunel, zupełnie inny wyciek danych. Tor Browser i torsocks obsługują to poprawnie. Ręcznie konfigurowane narzędzia często tego nie robią.

Tor obsługuje tylko strumienie TCP. Nie może przenosić ruchu UDP, więc ping 1.1.1.1 nigdy nie przechodzi przez tę sieć, a protokół VPN oparty na UDP nie może w niej działać. Każdy program, który ignoruje ustawienia proxy, po prostu korzysta z Twojej normalnej trasy z Twoim normalnym adresem, a system nie wyświetla żadnego ostrzeżenia. Dlatego systemowe rozwiązanie Tor realizuje się za pomocą transparentnego proxy na oddzielnej maszynie, a nie za pomocą zmiennej środowiskowej.

Gdzie faktycznie lokowane jest zaufanie

VPN koncentruje zaufanie. Jedna firma posiada dane o tożsamości użytkownika, historię płatności oraz pełny wzorzec ruchu, a ochrona opiera się na obietnicy nieprzechowywania logów. Dopóki ta obietnica jest dotrzymywana, projekt jest przejrzysty, szybki i łatwy do analizy. Gdy zawodzi – na skutek wezwania sądowego, naruszenia bezpieczeństwa lub kłamstwa – zawodzi całkowicie i dotyczy całego ruchu jednocześnie.

Tor rozprasza zaufanie. Trzy strony, które zazwyczaj się nie znają, posiadają fragmenty informacji, a pojedynczy fragment ma niewielką wartość. Aby projekt działał, nikt nie musi być uczciwy. Wystarczy, że strony te są od siebie niezależne. Ceną za to jest szybkość, ograniczenie wyłącznie do protokołu TCP oraz sieć, w której niektóre przekaźniki są z pewnością obsługiwane przez podmioty chcące monitorować użytkownika. Odpowiedzią sieci Tor na wrogi przekaźnik jest fakt, że jeden przekaźnik nigdy nie wystarcza do pełnego wglądu.

Kiedy VPN jest właściwym narzędziem

• Brak zaufania do sieci lokalnej: hotelu, lotniska, sali konferencyjnej lub routera właściciela lokalu. Operator widzi jedynie zaszyfrowany tunel.
• Potrzeba uzyskania dostępu do własnych maszyn lub wyjścia do sieci z kontrolowanego, stałego adresu IP.
• Wymagana szybkość i protokół UDP: wideokonferencje, gry, duże transfery danych, kopie zapasowe.
• Potrzeba stabilnego adresu, który nie jest blokowany przez serwisy internetowe. Węzły wyjściowe Tor są często blokowane lub wymagają rozwiązywania CAPTCHA.

Powyższa lista stanowi argument za uruchomieniem własnego serwera VPN na VPS zamiast kupowania subskrypcji, a samodzielnie skonfigurowany serwer WireGuard zapewnia tunel, którego polityka logowania jest określona w pliku konfiguracyjnym użytkownika. Jeśli wymagany jest ten sam tunel z dodatkowym zarządzaniem kluczami między urządzeniami, należy zapoznać się z różnicami między standardowym WireGuard a Tailscale. Każde z tych rozwiązań doskonale sprawdza się w wymienionych wyżej zastosowaniach. Żadne z nich nie realizuje zadań wymienionych w kolejnej sekcji.

Kiedy Tor jest właściwym narzędziem

• Przeciwnik obejmuje witrynę docelową lub dowolny podmiot mogący zażądać danych od jednej firmy.
• Czytasz lub publikujesz treści, których powiązanie z Twoim łączem byłoby dla Ciebie szkodliwe.
• Potrzebujesz usługi onion: ruchu, który nigdy nie opuszcza sieci, bez udziału exit relay, z serwerem o ukrytym adresie.
• Akceptujesz wolne ładowanie stron, CAPTCHA oraz sporadyczne 403 Forbidden.

Używaj Tor Browser, a nie przeglądarki codziennego użytku skierowanej na port 9050. Przeglądarka stanowi połowę ochrony, a kolejna sekcja wyjaśnia dlaczego.

Dlaczego wynajęty VPS jest gorszy od komercyjnego VPN pod kątem anonimowości

Jest to kwestia, którą wiele osób rozumie opacznie. Wynajęty VPS to dzierżawa przypisana do Twojego nazwiska. Adres e-mail użyty przy rejestracji, karta płatnicza, faktury oraz zgłoszenia do pomocy technicznej znajdują się w bazie danych firmy obok danego adresu IP. Nikt nie musi niczego łamać, aby powiązać ten adres z Twoją osobą. Dane te są już zapisane, przechowywane ze względów księgowych i dostępne dla każdego, kto zada dostawcy pytanie posiadające moc prawną.

Drugim problemem jest tłum. Adres wyjściowy komercyjnego VPN jest współdzielony przez wielu klientów w tym samym czasie, więc sam adres nie wskazuje na jedną osobę. Twój adres VPS należy wyłącznie do Ciebie. Każde żądanie wychodzące z tego serwera pochodzi od Ciebie – dziś i w przyszłym miesiącu. Adres nie ulega rotacji, więc serwer docelowy może budować Twój profil przez miesiące, nawet bez użycia plików cookie.

Nic z tego nie czyni własnego VPN złym rozwiązaniem. Jest on bardzo skuteczny w szyfrowaniu ruchu w sieci, nad którą nie masz kontroli, oraz w uzyskiwaniu dostępu do własnych usług z dowolnego miejsca. Nie jest to jednak narzędzie zapewniające anonimowość, a używanie go w tym celu jest błędem. Aby uzyskać jasny opis tego, co dostawca może, a czego nie może zobaczyć na samej maszynie, przeczytaj jak bezpieczny jest w rzeczywistości hosting VPS.

Czego nie naprawia ani Tor, ani VPN

• Odcisk palca przeglądarki (browser fingerprinting). User agent, rozdzielczość ekranu, strefa czasowa, zainstalowane czcionki, język oraz sposób renderowania canvas tworzą unikalną wartość, która śledzi użytkownika niezależnie od używanego adresu IP. Tor Browser przeciwdziała temu, sprawiając, że wszyscy użytkownicy wyglądają identycznie i zmieniając rozmiar okna w ustalonych krokach. Standardowa przeglądarka korzystająca z proxy SOCKS zachowuje swój odcisk palca oraz pliki cookie.
• Logowanie. W momencie zalogowania się na konto, które przypisane jest do tożsamości użytkownika, warstwa sieciowa przestaje mieć znaczenie. Jedno logowanie z domu i jedno przez Tor do tego samego konta łączy obie sesje w jedną całość.
• Wszystko, co rejestruje punkt końcowy: wpisywane dane, historia zakupów, historia wyszukiwania.
• Korelacja end-to-end. Podmiot monitorujący łącze użytkownika oraz węzeł wyjściowy jednocześnie może dopasować czas oraz wolumen pakietów, łącząc oba końce połączenia. Tor otwarcie deklaruje, że nie chroni przed przeciwnikiem, który ma wgląd w obie strony komunikacji.

Czy można używać Tor i VPN jednocześnie?

Tor over VPN oznacza, że połączenie VPN nawiązywane jest jako pierwsze, a Tor działa wewnątrz niego. Dostawca usług internetowych (ISP) widzi wtedy tylko VPN, a węzeł wejściowy (guard relay) widzi adres IP serwera VPN zamiast adresu użytkownika. W ten sposób użytkownik umieszcza firmę, która posiada jego dane osobowe i informacje o karcie płatniczej, przed systemem zaprojektowanym właśnie w celu unikania takiej identyfikacji. Rozwiązanie to jest zasadne tylko w jednej sytuacji: gdy samo korzystanie z sieci Tor w danej sieci jest niebezpieczne, a użytkownik nie ma lepszej alternatywy.

VPN over Tor, gdzie ruch opuszcza sieć Tor i trafia do konta VPN, jest trudniejszy w konfiguracji i zazwyczaj mniej korzystny. Konto to jest powiązane z historią płatności, co oznacza przypisanie trwałej tożsamości do ruchu, który chwilę wcześniej był anonimowy.

Jeśli celem jest jedynie ukrycie korzystania z sieci Tor przed dostawcą ISP, zalecanym rozwiązaniem jest użycie mostka (bridge): punktu wejściowego, który nie znajduje się w publicznym spisie węzłów, w połączeniu z mechanizmem pluggable transport, takim jak obfs4 lub Snowflake, który utrudnia klasyfikację ruchu. Tor Browser zawiera oba te rozwiązania, a korzystanie z nich nie wymaga udostępniania danych osobowych żadnej zewnętrznej firmie.

FAQ

Czy Tor to po prostu darmowy VPN?

Nie. VPN przesyła ruch przez jeden serwer zarządzany przez jedną firmę, która widzi Twój prawdziwy adres IP oraz wszystkie miejsca docelowe, więc jedynie zamienia dostawcę usług internetowych na wybranego przez Ciebie operatora. Tor przesyła dane przez trzy przekaźniki zarządzane przez różne osoby, gdzie węzeł wejściowy widzi Ciebie, ale nie widzi strony docelowej, a węzeł wyjściowy widzi stronę, ale nie widzi Ciebie. Tor obsługuje ponadto wyłącznie protokół TCP, jest zauważalnie wolniejszy i bywa blokowany lub ograniczany przez wiele serwisów, dlatego nie stanowi bezpośredniego zamiennika dla codziennych zastosowań VPN.

Czy mój dostawca internetu widzi, że korzystam z sieci Tor?

Domyślnie tak. Adresy przekaźników są publikowane w publicznym spisie, więc dostawca widzi połączenie z rozpoznanym węzłem wejściowym. Nie widzi jednak, z jakich stron korzystasz. Aby ukryć sam fakt używania sieci, Tor Browser oferuje mostki z wtyczkowym transportem, takim jak obfs4 lub Snowflake, które łączą się przez punkt wejściowy nieznajdujący się na publicznej liście. Użycie VPN przed połączeniem z siecią Tor również ukrywa ten fakt przed dostawcą internetu, przekazując tę informację operatorowi VPN.

Czy uruchomienie własnego VPN na VPS zapewnia anonimowość?

Nie. Serwer jest wynajmowany na Twoje nazwisko przy użyciu Twojej karty płatniczej, więc dane rozliczeniowe dostawcy już łączą ten adres z Twoją osobą, a żądanie prawne wystarczy, aby je uzyskać. Z adresu korzystasz tylko Ty, więc cały ruch wychodzący przypisany jest do jednej osoby i pozostaje możliwy do powiązania tak długo, jak długo utrzymujesz serwer. Własny VPN to skuteczne narzędzie ochrony prywatności w sieci lokalnej, ale słabe narzędzie anonimizacji wobec każdego, kto może wystąpić z zapytaniem do Twojego dostawcy.

Dlaczego strony blokują mnie lub wyświetlają CAPTCHA, gdy używam sieci Tor?

Ponieważ adresy węzłów wyjściowych są publiczne i współdzielone przez bardzo dużą liczbę osób, nadużycia pochodzące od któregokolwiek z użytkowników obciążają adres, z którego aktualnie korzystasz. Sieci dostarczania treści (CDN) oceniają te adresy nisko i odpowiadają wyzwaniem, 403 Forbidden lub formularzem rejestracyjnym, który odrzuca zgłoszenia. Żadne działanie po Twojej stronie tego nie zmieni. Nowy obwód przydziela inny węzeł wyjściowy, który czasami posiada lepszą reputację.

Czy korzystając z VPN, nadal ujawniam zapytania DNS?

Możesz, i jest to częste zjawisko. Przy pełnym tunelu bez skonfigurowanego serwera nazw dla interfejsu tunelowego, klient zachowuje resolver pobrany z sieci lokalnej, a trasa do tego resolvera jest bezpośrednia, więc ma pierwszeństwo przed domyślną trasą tunelu. Twoje zapytania wychodzą wtedy otwartym tekstem, podczas gdy reszta ruchu jest szyfrowana. Uruchom resolvectl status i sprawdź, czy serwer DNS wymieniony dla łącza obsługującego domyślną trasę jest resolverem tunelu, a nie Twoim lokalnym routerem.