Tor ou VPN: qual você realmente precisa?

Tor vs uma VPN: de qual precisa realmente

O Tor e uma VPN enviam o seu tráfego através de máquinas que não lhe pertencem, mas respondem a necessidades diferentes. Uma VPN (rede privada virtual) transfere a sua confiança do fornecedor de Internet para uma empresa, que passa a ver o seu endereço real e todos os destinos que visita. O Tor distribui essa confiança por três relays operados por pessoas diferentes, para que nenhum relay individual saiba simultaneamente quem é e para onde vai. Escolha a ferramenta identificando a entidade de quem pretende ocultar a sua atividade.

Se essa entidade for a rede à qual está ligado, uma VPN é a ferramenta adequada. Se for o próprio site, ou alguém que possa exigir os registos de uma empresa, o Tor é a ferramenta adequada. O restante deste guia explica em detalhe essas duas afirmações.

Acompanhar um pedido através dos dois desenhos

Considere um pedido comum: o seu navegador abre https://news.example.com. O TLS (segurança da camada de transporte) protege o conteúdo da página em qualquer dos casos, por isso ninguém que esteja no caminho consegue ler o artigo. A parte relevante são os metadados: quem fica a conhecer o seu endereço IP, quem conhece o destino e quem consegue associar esses dois factos. Uma ferramenta de privacidade serve para separar esse par. Uma VPN transfere o par para outro interveniente. O Tor divide-o.

O que cada parte vê quando utiliza uma VPN

O seu cliente cifra cada pacote e envia-o para um endpoint. A partir desse endpoint, o tráfego volta a ser normal.

• O seu ISP (fornecedor de serviços de Internet) vê pacotes cifrados entre a sua ligação e o endereço de um servidor VPN. Vê o volume e os tempos. Não vê o nome do host de destino, desde que as consultas DNS (sistema de nomes de domínio) também passem pelo túnel.
• O operador da VPN vê o seu endereço IP real de um lado e todos os endereços de destino do outro, com os respetivos tempos e tamanhos. As duas partes do par chegam à mesma máquina.
• O destino vê o endereço de saída da VPN, além de todos os detalhes de identificação enviados pelo seu navegador.

Por isso, uma VPN não cria anonimato. Transfere o observador do seu ISP para o fornecedor da VPN. Isto é uma vantagem real quando o problema está na rede local ou quando o ISP filtra ou revende o que vê. Não oferece qualquer vantagem contra o site que está a visitar, porque o seu tráfego continua a chegar como um único fluxo proveniente de uma empresa que sabe exatamente quem é e mantém o seu registo de pagamentos.

A alegação de "sem logs" é o produto completo, e é a única parte que não pode verificar do seu lado. Pode confirmar que o túnel está ativo. Pode confirmar que o DNS não está a vazar. Não pode confirmar o que o operador grava no disco. Essa é a troca que aceita: uma empresa, escolhida por si, com a visão completa.

Verifique a fuga que pode desfazer silenciosamente o túnel:

resolvectl status
curl -s https://ifconfig.me; echo

O endereço apresentado por ifconfig.me deve ser o endereço de saída da VPN. Os servidores DNS listados para a ligação que transporta a sua rota predefinida devem ser o resolvedor do túnel. Se ainda listarem o seu router local em 192.168.1.1, as consultas de nomes estão a sair pela ligação local em texto simples, porque a rota para esse router está diretamente ligada e é mais específica do que a rota predefinida do túnel. O seu tráfego é privado, mas a sua lista de sites não é. Consultas DNS a sair de um túnel WireGuard explica a correção.

O que cada parte vê quando utiliza Tor

O Tor cria um circuito com três relays escolhidos de uma lista assinada, o consenso, publicada por um pequeno conjunto de autoridades de diretório. O seu cliente envolve os dados em camadas, uma por relay. Cada relay remove uma camada, conhece apenas o próximo salto e encaminha o restante. Essas camadas existem para que ninguém no caminho tenha os dois factos.

• O seu ISP vê tráfego cifrado para um relay guard. Os endereços dos relays são públicos, por isso o seu ISP consegue saber que utiliza Tor. Não consegue saber a que destino acede.
• O relay guard vê o seu endereço IP real. Não consegue ver o destino, porque a parte da mensagem que identifica o site continua cifrada para os relays seguintes.
• O relay intermédio vê um guard de um lado e um exit do outro. Não vê nem o utilizador nem o destino. Existe para que o guard e o exit nunca comuniquem diretamente.
• O relay exit vê o destino e o tráfego quando este sai da rede. Vê o endereço do relay intermédio, não o seu. Com HTTPS, conhece o nome do host e os metadados da ligação, mas não a página.
• O destino vê o endereço do relay exit, que aparece em listas públicas de exits, além de tudo o que o seu browser fornecer.

Associar o utilizador ao site exige observar o guard e o exit ao mesmo tempo. Esse é o funcionamento em uma frase. É também por isso que o seu cliente mantém o mesmo guard durante meses, em vez de escolher um novo a cada arranque: alterar constantemente o relay de entrada daria a um relay hostil oportunidades repetidas de se tornar o seu guard.

Os circuitos não são permanentes. As novas ligações passam para um circuito novo aproximadamente a cada dez minutos, enquanto um fluxo que já está aberto permanece no circuito em que começou. Um download longo e um separador aberto quinze minutos depois normalmente saem por exits diferentes.

Instale-o e confirme o caminho:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

O log deve chegar a Bootstrapped 100% (done): Done. O curl deve imprimir {"IsTor":true,"IP":"..."} com um endereço que não reconhece, que é o seu exit atual. Se IsTor for false, o pedido nunca passou pelo proxy. O Tor disponibilizado nos pacotes do Ubuntu pode ficar atrasado em relação à versão atual. O Tor Project publica o seu próprio repositório apt se precisar de acompanhar a versão upstream.

Existe uma armadilha nesse comando. --socks5 faz com que o curl resolva o hostname por si próprio e envie depois o endereço resultante através do proxy. Assim, o seu resolver normal fica a conhecer todos os nomes que visita. --socks5-hostname envia o nome para o Tor e permite que o exit o resolva. O túnel é o mesmo, mas a fuga de informação é completamente diferente. O Tor Browser e torsocks fazem isto corretamente. As ferramentas configuradas manualmente muitas vezes não.

O Tor transporta apenas fluxos TCP. Não consegue transportar UDP, por isso ping 1.1.1.1 nunca passa por ele, e um protocolo VPN baseado em UDP não pode ser executado dentro dele. Qualquer programa que ignore a configuração do proxy utiliza simplesmente a sua rota normal com o seu endereço normal, sem qualquer aviso. É por isso que o Tor a nível de sistema é implementado com um proxy transparente num sistema separado, e não com uma variável de ambiente.

Onde a confiança realmente fica

Uma VPN concentra a confiança. Uma única empresa tem a sua identidade, os seus dados de faturação e o seu padrão completo de tráfego, e a sua proteção depende da promessa de não manter os logs. Enquanto essa promessa for cumprida, o modelo é simples, rápido e fácil de compreender. Quando falha, devido a uma intimação judicial, a uma violação de segurança ou a uma mentira, falha completamente e afeta todo o seu tráfego ao mesmo tempo.

A Tor distribui a confiança. Três partes que, na maioria dos casos, não se conhecem entre si têm cada uma um fragmento, e um fragmento isolado tem pouco valor. Ninguém precisa de ser honesto para que o modelo funcione. É necessário que haja independência suficiente entre essas partes. O custo é a velocidade, o uso exclusivo de TCP e uma rede onde alguns relays são certamente operados por pessoas que gostariam de monitorizar a sua atividade. A resposta da Tor a um relay hostil é que um único relay nunca é suficiente.

Quando uma VPN é a ferramenta certa

• Você não confia na rede local: hotel, aeroporto, sala de conferências ou router do senhorio. O operador vê um túnel encriptado e nada mais.
• Você quer aceder às suas próprias máquinas ou sair através de um endereço fixo que controla.
• Você precisa de velocidade e UDP: chamadas de vídeo, jogos, transferências grandes e cópias de segurança.
• Você quer um endereço estável que os sites não questionem. As saídas do Tor são bloqueadas ou sujeitas a CAPTCHA em grande parte da Web.

Esta lista justifica executar a sua própria VPN num VPS em vez de comprar uma subscrição, e um servidor WireGuard que configura por sua conta fornece um túnel cuja política de logs está num ficheiro de configuração que você controla. Se quiser o mesmo túnel com gestão de chaves entre dispositivos, a diferença entre WireGuard simples e Tailscale é a comparação que deve consultar. Cada uma destas opções é excelente para a finalidade indicada nesta lista. Nenhuma delas serve para a finalidade da próxima.

Quando Tor é a ferramenta certa

• O seu adversário inclui o site de destino ou qualquer pessoa capaz de exigir registos a uma única empresa.
• Está a ler ou publicar algo que lhe causaria problemas se fosse associado à sua ligação.
• Quer um serviço onion: tráfego que nunca sai da rede, sem relay de saída envolvido e com um servidor cujo endereço permanece oculto.
• Consegue aceitar páginas lentas, CAPTCHAs e o ocasional 403 Forbidden.

Use o Tor Browser, não o seu navegador habitual apontado para a porta 9050. O navegador é metade da proteção, e a secção seguinte explica porquê.

Por que um VPS que você alugou é pior do que uma VPN comercial para o anonimato

Este é o caso que muitas pessoas interpretam ao contrário. Um VPS que você alugou é um contrato associado ao seu nome. O e-mail usado no cadastro, o cartão, as faturas e os chamados de suporte ficam no banco de dados de uma única empresa, associados àquele endereço IP. Ninguém precisa invadir nada para relacionar o endereço a você. Essa relação já está registrada, é mantida por motivos normais de contabilidade e pode ser obtida por qualquer pessoa que faça ao provedor uma solicitação com respaldo legal.

O segundo problema é a quantidade de utilizadores. O endereço de saída de uma VPN comercial é partilhado por muitos clientes ao mesmo tempo, portanto esse endereço, por si só, não identifica uma pessoa. O endereço do seu VPS é usado apenas por você. Cada pedido que sai dele é seu, hoje e no próximo mês. Como o endereço não muda, um destino pode criar um perfil ao longo de meses sem precisar de cookies.

Nada disso torna uma VPN auto-hospedada uma má opção. Ela é muito útil para encriptar o seu tráfego numa rede que você não controla e para aceder aos seus próprios serviços a partir de qualquer lugar. Simplesmente não é uma ferramenta de anonimato, e usá-la dessa forma é o erro. Para uma explicação direta sobre o que o seu provedor pode ou não pode ver na própria máquina, leia como é realmente a segurança de uma hospedagem VPS.

O que nem o Tor nem uma VPN corrigem

• Impressão digital do navegador. O user agent, o tamanho do ecrã, o fuso horário, os tipos de letra instalados, o idioma e a renderização de canvas combinam-se num valor frequentemente único, que o acompanha em todos os endereços IP que utiliza. O Tor Browser combate este problema ao fazer com que os seus utilizadores tenham uma aparência idêntica e ao redimensionar a janela em incrementos fixos. O seu navegador normal, atrás de um proxy SOCKS, mantém a sua impressão digital e os seus cookies.
• Iniciar sessão. Assim que inicia sessão numa conta que conhece o seu nome, a camada de rede deixa de ser relevante. Um início de sessão a partir de casa e outro através do Tor na mesma conta associam as duas sessões.
• Tudo o que o endpoint regista de qualquer forma: o que escreveu, o que comprou e o que pesquisou.
• Correlação de ponta a ponta. Alguém que monitorize simultaneamente a sua ligação e o exit node pode alinhar os tempos e o volume dos pacotes e associar as duas extremidades. O Tor afirma claramente que não protege contra um adversário que consiga ver ambos os lados.

Você pode usar Tor e uma VPN em conjunto?

Tor sobre VPN significa que a VPN estabelece a ligação primeiro e o Tor funciona dentro dela. O seu ISP vê apenas a VPN, e o relay guard vê o endereço da VPN em vez do seu. Também colocou uma empresa que tem o seu nome e os dados do seu cartão à frente de um sistema concebido precisamente para evitar isso. Vale a pena fazê-lo numa situação: quando usar Tor é perigoso na sua ligação e não existe uma opção melhor.

VPN sobre Tor, em que o tráfego sai da rede Tor e entra depois numa conta VPN, é mais difícil de configurar e normalmente é pior. Essa conta está associada ao seu registo de pagamento. Assim, fixou uma identidade estável a tráfego que, um momento antes, era anónimo.

Se o objetivo for apenas ocultar o uso de Tor do seu ISP, a resposta suportada é uma bridge: um ponto de entrada que não está no consenso público, combinado com um pluggable transport como obfs4 ou Snowflake, que torna o tráfego difícil de classificar. Tor Browser já inclui ambos, e não é necessária uma terceira empresa com o seu nome.

FAQ

A rede Tor é apenas uma VPN gratuita?

Não. Uma VPN envia o seu tráfego através de um único servidor gerido por uma empresa que vê o seu endereço real e todos os destinos, substituindo o seu ISP pelo fornecedor que escolheu. A rede Tor envia o tráfego através de três relays geridos por pessoas diferentes. O relay de guarda vê que está a usar a rede, mas não vê o site. O relay de saída vê o site, mas não sabe quem é. A rede Tor também funciona apenas com TCP, é significativamente mais lenta e é bloqueada ou sujeita a desafios por muitos sites. Por isso, não substitui diretamente uma VPN nas utilizações diárias.

O meu ISP consegue saber que estou a usar Tor?

Por predefinição, sim. Os endereços dos relays são publicados no consenso público, pelo que o seu fornecedor consegue ver que está a ligar-se a um relay de guarda conhecido. Não consegue ver a que sites acede. Para ocultar a própria utilização da rede Tor, o Tor Browser disponibiliza bridges com um transporte modular, como obfs4 ou Snowflake. Estes ligam-se através de um ponto de entrada que não consta da lista pública. Uma VPN à frente da rede Tor também oculta esse facto do seu ISP, mas passa essa mesma informação para o operador da VPN.

Executar uma VPN no meu próprio VPS torna-me anónimo?

Não. O servidor é alugado em seu nome e pago com o seu cartão, pelo que os registos de faturação do fornecedor já associam esse endereço a si. Basta um pedido dirigido ao fornecedor para obter esses registos. O endereço também é utilizado apenas por si, pelo que tudo o que sai dele pertence a uma única pessoa e continua associável durante todo o período em que mantiver o servidor. Uma VPN auto-hospedada é uma ferramenta de privacidade eficaz contra a rede local, mas uma ferramenta fraca de anonimato contra qualquer entidade que possa solicitar informações ao seu fornecedor.

Porque é que os sites me bloqueiam ou mostram CAPTCHAs quando uso Tor?

Porque os endereços dos relays de saída são públicos e partilhados por muitas pessoas. Assim, o abuso cometido por qualquer um desses utilizadores fica associado ao endereço que está a utilizar. As redes de distribuição de conteúdos atribuem uma reputação baixa a esses endereços e respondem com um desafio, um 403 Forbidden ou um formulário de registo que recusa o envio. Nada do que fizer no seu lado elimina este problema. Um novo circuito fornece um relay de saída diferente, que por vezes tem uma reputação melhor.

Se usar uma VPN, continuo a expor as minhas consultas DNS?

É possível, e é comum. Com um túnel completo e sem um resolver definido para a interface do túnel, o cliente continua a utilizar o resolver que aprendeu na rede local. A rota para esse resolver está diretamente ligada à rede local e, por isso, tem precedência sobre a rota predefinida do túnel. As suas consultas saem então em texto simples, enquanto todo o restante tráfego está cifrado. Execute resolvectl status e confirme que o servidor DNS apresentado para a ligação que transporta a sua rota predefinida é o resolver do túnel, e não o router local.