Tor au VPN: ni ipi bora kwa usalama wako?

Tor dhidi ya VPN: ni ipi unayohitaji kihalisi

Tor na VPN zote hutuma trafiki yako kupitia mashine ambazo si zako, na zinajibu maswali tofauti. VPN (virtual private network) huhamisha imani yako kutoka kwa mtoa huduma wako wa intaneti kwenda kwa kampuni moja, ambayo kisha huona anwani yako halisi na kila unakoenda. Tor husambaza imani hiyo kwenye relay tatu zinazoendeshwa na watu tofauti, hivyo hakuna relay yoyote inayojua wewe ni nani na unaenda wapi. Chagua kwa kutaja upande unaotaka kujificha nao.

Ikiwa upande huo ni mtandao unaoutumia sasa, VPN ndiyo zana sahihi. Ikiwa upande huo ni tovuti yenyewe, au mtu yeyote anayeweza kulazimisha rekodi za kampuni moja, Tor ndiyo zana sahihi. Sehemu iliyobaki ya mwongozo huu ni maelezo ya kina nyuma ya sentensi hizo mbili.

Fuatilia ombi moja kupitia usanifu wote wawili

Chukua ombi la kawaida: kivinjari chako kinafungua https://news.example.com. TLS (transport layer security) hulinda maudhui ya ukurasa kwa njia zote mbili, kwa hivyo hakuna mtu aliye katikati anayeweza kusoma makala hiyo. Sehemu ya kuvutia ni metadata: nani anajua anwani yako ya IP, nani anajua unakoenda, na nani anaweza kuunganisha ukweli huo mbili. Zana ya faragha ni mashine ya kutenganisha jozi hiyo. VPN huhamishia jozi hiyo kwa mshikiliaji mwingine. Tor huitenganisha.

Kile kila upande kinachokiona unapotumia VPN

Mteja wako husimba kila pakiti na kuituma kwa endpoint moja. Kuanzia hapo, trafiki hiyo inakuwa ya kawaida tena.

• ISP wako (mtoa huduma wa intaneti) huona pakiti zilizosimbwa kati ya laini yako na anwani moja ya seva ya VPN. Huona kiasi na muda wa trafiki. Haoni hostname ya unakoenda, mradi tu maombi ya DNS (domain name system) nayo yanapita ndani ya tunnel.
• Mwendeshaji wa VPN huona anwani yako halisi ya IP kwa upande mmoja na kila anwani ya unakoenda kwa upande mwingine, pamoja na muda na ukubwa wa data. Nusu zote mbili za mawasiliano hayo hufika kwenye mashine moja.
• Unakoenda huona anwani ya kutoka ya VPN, pamoja na kila maelezo ya utambulisho ambayo kivinjari chako hutuma.

Kwa hivyo, VPN haitengenezi kutokujulikana (anonymity). Inahamisha mwangalizi, kutoka kwa ISP wako kwenda kwa mtoa huduma wako wa VPN. Hiyo ni faida halisi wakati mtandao wa ndani ndio tatizo, au wakati ISP wako anachuja au kuuza data anayoiona. Hakuna faida yoyote dhidi ya tovuti unayotembelea, kwa sababu trafiki yako bado inafika kama mtiririko mmoja kutoka kwa kampuni moja inayojua hasa wewe ni nani na ina kumbukumbu ya malipo yako.

Madai ya "no logs" ndiyo bidhaa nzima, na ndiyo sehemu moja ambayo huwezi kuikagua kutoka upande wako. Unaweza kuthibitisha kuwa tunnel iko juu. Unaweza kuthibitisha kuwa DNS haivuji. Huwezi kuthibitisha kile mwendeshaji anachoandika kwenye diski. Huo ndio mkataba unaokubali: kampuni moja, uliyochagua wewe, inayoshikilia picha kamili.

Kagua uvujaji unaoharibu tunnel kimyakimya:

resolvectl status
curl -s https://ifconfig.me; echo

Anwani iliyochapishwa na ifconfig.me inapaswa kuwa ile ya kutoka ya VPN. Seva za DNS zilizoorodheshwa kwa ajili ya link inayobeba default route yako zinapaswa kuwa resolver ya tunnel. Ikiwa bado zinaorodhesha router yako ya ndani kwenye 192.168.1.1, utafutaji wako wa majina unatoka nje kupitia link ya ndani kwa maandishi wazi (cleartext), kwa sababu njia ya kuelekea router hiyo iko on-link na ni mahususi zaidi kuliko default route ya tunnel. Trafiki yako ni ya faragha lakini orodha yako ya tovuti si ya faragha. DNS queries escaping a WireGuard tunnel inaelezea hatua za kurekebisha hili.

Kile kila upande unachokiona unapotumia Tor

Tor hujenga mzunguko wa relay tatu zilizochaguliwa kutoka kwenye orodha iliyotiwa saini, inayojulikana kama consensus, inayochapishwa na kundi dogo la directory authorities. Mteja wako hufunga data katika matabaka, moja kwa kila relay. Kila relay huondoa tabaka moja, hujua tu hatua inayofuata, na kupitisha kilichobaki. Matabaka hayo ndiyo sababu hakuna mtu katika njia hiyo anayeshikilia ukweli wote wawili.

• ISP wako huona trafiki iliyosimbwa kwenda kwenye guard relay moja. Anwani za relay ni za umma, kwa hivyo ISP wako anaweza kujua kuwa unatumia Tor. Hawezi kujua unachofikia.
• Guard relay huona anwani yako halisi ya IP. Haiwezi kuona unakoenda, kwa sababu sehemu ya ujumbe inayotaja tovuti bado imesimbwa kwa ajili ya relay zinazofuata.
• Middle relay huona guard upande mmoja na exit upande mwingine. Haikuoni wewe wala unakoenda. Ipo ili guard na exit zisipate kuongea moja kwa moja.
• Exit relay huona unakoenda na trafiki inapotoka kwenye mtandao. Huona anwani ya middle relay, si yako. Kwa HTTPS, hujifunza jina la mwenyeji (hostname) na metadata ya muunganisho, si ukurasa wenyewe.
• Unakoenda huona anwani ya exit relay, ambayo huonekana kwenye orodha za umma za exit, pamoja na chochote ambacho kivinjari chako kinatoa.

Kukuunganisha wewe na tovuti kunahitaji guard na exit kwa wakati mmoja. Hiyo ndiyo muundo katika sentensi moja. Pia ndiyo sababu mteja wako huweka guard yuleyule kwa miezi badala ya kuchagua mpya kila unapoanza: kubadilisha njia ya kuingia mara kwa mara kungeipa relay hasimu nafasi za mara kwa mara za kuwa guard wako.

Mizunguko si ya kudumu. Miunganisho mipya huhamia kwenye mzunguko mpya takriban kila dakika kumi, wakati mtiririko (stream) ambao tayari umefunguliwa hubaki kwenye mzunguko ulioanzishwa. Upakuaji mrefu na kichupo unachofungua dakika kumi na tano baadaye kwa kawaida hutoka kwenye exit tofauti.

Isakinishe na uthibitishe njia:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Log inapaswa kufikia Bootstrapped 100% (done): Done. curl inapaswa kuchapisha {"IsTor":true,"IP":"..."} ikiwa na anwani ambayo huitambui, ambayo ndiyo exit yako ya sasa. Ikiwa IsTor ni false, ombi halikupita kwenye proxy. Tor iliyopakiwa kwenye Ubuntu inaweza kuwa nyuma ya toleo la sasa; Tor Project huchapisha apt repository yake yenyewe ikiwa unahitaji kufuatilia toleo la hivi karibuni.

Mtego mmoja upo ndani ya amri hiyo. --socks5 huifanya curl kutatua hostname yenyewe na kisha kutuma anwani inayotokana na hiyo kupitia proxy, kwa hivyo resolver yako ya kawaida hujifunza kila jina unalotembelea. --socks5-hostname hutuma jina kwa Tor na kuruhusu exit ilitatue. Njia ni ileile, lakini uvujaji ni tofauti kabisa. Tor Browser na torsocks hufanya hivi kwa usahihi. Zana zilizosanidiwa kwa mikono mara nyingi hazifanyi hivyo.

Tor hubeba mitiririko ya TCP pekee. Haiwezi kubeba UDP, kwa hivyo ping 1.1.1.1 haipiti kamwe kupitia hapo, na itifaki ya VPN inayotegemea UDP haiwezi kufanya kazi ndani yake. Programu yoyote inayopuuza mpangilio wake wa proxy hutumia njia yako ya kawaida na anwani yako ya kawaida, na hakuna kinachokuonya. Hiyo ndiyo sababu Tor ya mfumo mzima hufanywa kwa transparent proxy kwenye kifaa tofauti badala ya kutumia environment variable.

Mahali ambapo uaminifu huwekwa kihalisi

VPN hujikita kwenye uaminifu mmoja. Kampuni moja hushikilia utambulisho wako, rekodi zako za malipo, na muundo mzima wa trafiki yako, huku ulinzi wako ukiwa ni ahadi yao ya kutotunza logi. Ahadi hiyo inaposhikiliwa, usanifu huu huwa safi, wa haraka, na rahisi kueleweka. Inaposhindwa, kupitia wito wa mahakama (subpoena), uvamizi wa seva (breach), au uongo, mfumo mzima huanguka na trafiki yako yote huathirika kwa wakati mmoja.

Tor husambaza uaminifu. Wahusika watatu ambao kwa kiasi kikubwa hawajuani, kila mmoja hushikilia sehemu ndogo ya data, na sehemu hiyo pekee haina thamani kubwa. Hakuna anayelazimika kuwa mwaminifu ili usanifu huu ufanye kazi. Inatosha tu wao kuwa huru na wasio na uhusiano. Unalipia usalama huu kwa kasi ndogo, kwa kutumia TCP pekee, na kwa mtandao ambapo baadhi ya relays huendeshwa na watu wanaotaka kukufuatilia. Jibu la Tor dhidi ya relay yenye nia mbaya ni kwamba relay moja haitoshi kamwe kuhatarisha usalama wako.

Wakati VPN ni zana sahihi

• Huuamini mtandao wa eneo lako: hoteli, uwanja wa ndege, ukumbi wa mikutano, au kipanga njia (router) cha mwenye nyumba. Mwendeshaji huona tu handaki lililosimbwa (encrypted tunnel) na si kingine.
• Unataka kufikia mashine zako mwenyewe, au kutoka kwenye mtandao ukitumia anwani isiyobadilika (fixed address) unayoimiliki.
• Unahitaji kasi na UDP: kwa ajili ya simu za video, michezo, uhamishaji wa faili kubwa, na backups.
• Unataka anwani thabiti ambayo tovuti hazikupingii. Sehemu za kutokea (exits) za Tor huzuiwa au kupewa CAPTCHA kwenye sehemu kubwa ya mtandao.

Orodha hiyo ndiyo sababu ya kuendesha VPN yako mwenyewe kwenye VPS badala ya kununua usajili, na seva ya WireGuard unayoiweka mwenyewe inakupa handaki ambalo sera yake ya utunzaji wa kumbukumbu (logging policy) ni faili la usanidi unalolimiliki. Ikiwa unataka handaki hilo hilo likiwa na usimamizi wa funguo (key management) kati ya vifaa, tofauti kati ya WireGuard ya kawaida na Tailscale ndiyo kulinganisha unakopaswa kusoma. Kila moja ya hizi ni bora katika kazi zilizoorodheshwa hapa. Hakuna hata moja inayofanya kazi zilizoorodheshwa katika sehemu inayofuata.

Wakati Tor ni zana sahihi

• Mpinzani wako anajumuisha tovuti unayotembelea, au mtu yeyote mwenye uwezo wa kudai rekodi kutoka kwa kampuni moja.
• Unasoma au kuchapisha kitu ambacho kingekudhuru ikiwa kingefuatiliwa hadi kwenye laini yako.
• Unataka huduma ya onion: trafiki ambayo haiachi mtandao wa Tor, hakuna exit relay inayohusika, na seva ambayo anwani yake inabaki imefichwa.
• Unaweza kuvumilia kurasa za polepole, CAPTCHA, na 403 Forbidden ya mara kwa mara.

Tumia Tor Browser, usitumie kivinjari chako cha kawaida kilichoelekezwa kwenye port 9050. Kivinjari ni nusu ya ulinzi, na sehemu inayofuata baada ya inayokuja inaelezea kwa nini.

Kwa nini VPS uliyokodisha ni mbaya zaidi kuliko VPN ya kibiashara kwa ajili ya kutokujulikana

Hili ni jambo ambalo watu wengi hulielewa vibaya. VPS uliyokodisha ni mkataba wenye jina lako. Barua pepe ya usajili, kadi ya malipo, ankara na tiketi za msaada wa kiufundi zote hukaa kwenye hifadhidata ya kampuni moja karibu na anwani hiyo ya IP. Hakuna anayehitaji kuvunja chochote ili kuunganisha anwani hiyo na wewe. Imeandikwa tayari, inahifadhiwa kwa sababu za kawaida za uhasibu, na inapatikana kwa yeyote anayeweza kuuliza mtoa huduma swali lenye uzito wa kisheria.

Tatizo la pili ni umati. Anwani ya kutoka (exit address) ya VPN ya kibiashara inatumiwa na wateja wengi kwa wakati mmoja, kwa hivyo anwani hiyo pekee haimwelekezi mtu mmoja. Anwani yako ya VPS ni yako pekee. Kila ombi linalotoka hapo ni wewe, leo na mwezi ujao, na anwani hiyo haibadiliki, kwa hivyo sehemu unayotembelea inaweza kujenga wasifu wako kwa miezi kadhaa bila hata kutumia cookies.

Hakuna kati ya hayo yanayofanya VPN unayojiendeshea (self-hosted) kuwa kitu kibaya. Ni nzuri sana kwa kusimba trafiki yako kwenye mtandao usioumiliki, na kwa kufikia huduma zako mwenyewe kutoka popote. Sio zana ya kutokujulikana, na kuitumia kama zana hiyo ndilo kosa. Kwa maelezo ya wazi kuhusu kile mtoa huduma wako anaweza na hawezi kuona kwenye mashine yenyewe, soma jinsi VPS hosting ilivyo salama kwa kweli.

Mambo ambayo Tor wala VPN haiyarekebishi

• Browser fingerprinting. User agent yako, ukubwa wa skrini, eneo la saa, fonti zilizosakinishwa, lugha, na uwasilishaji wa canvas huungana na kutengeneza thamani ambayo mara nyingi ni ya kipekee, na hukufuata katika kila anwani ya IP unayotumia. Tor Browser hupambana na hili kwa kuwafanya watumiaji wake waonekane sawa kabisa na kwa kubadilisha ukubwa wa dirisha kwa hatua maalum. Kivinjari chako cha kawaida ukiwa nyuma ya SOCKS proxy huendelea kutumia fingerprint na cookies zake.
• Kuingia kwenye akaunti (Logging in). Wakati unapoingia kwenye akaunti inayojua jina lako, safu ya mtandao (network layer) hupoteza umuhimu wake. Kuingia mara moja ukiwa nyumbani na mara nyingine kupitia Tor kwenye akaunti hiyo hiyo huunganisha vipindi vyote viwili (sessions).
• Chochote ambacho endpoint hurekodi hata hivyo: ulichochapa, ulichonunua, ulichotafuta.
• End-to-end correlation. Mtu anayechunguza laini yako na exit node kwa wakati mmoja anaweza kulinganisha muda na kiasi cha pakiti na kuoanisha ncha zote mbili. Tor inasema wazi kuwa haijilindi dhidi ya mpinzani anayeweza kuona pande zote mbili.

Je, unaweza kutumia Tor na VPN kwa pamoja?

Tor over VPN inamaanisha kuwa VPN huunganishwa kwanza na Tor hufanya kazi ndani yake. ISP wako huona VPN pekee, na guard relay huona anwani ya VPN badala ya yako. Pia umeweka kampuni inayoshikilia jina lako na kadi yako ya malipo mbele ya mfumo ulioundwa ili kuepuka jambo hilo hasa. Inafaa kufanya hivi katika hali moja: wakati kutumia Tor kwenye laini yako ni hatari na huna chaguo jingine bora.

VPN over Tor, ambapo trafiki huondoka kwenye mtandao wa Tor na kisha kuingia kwenye akaunti ya VPN, ni ngumu zaidi kusanidi na kwa kawaida huwa mbaya zaidi. Akaunti hiyo ina rekodi yako ya malipo, kwa hivyo umeunganisha utambulisho thabiti kwenye trafiki ambayo ilikuwa ya siri muda mfupi uliopita.

Ikiwa lengo ni kuficha matumizi ya Tor kutoka kwa ISP wako, jibu linalopendekezwa ni kutumia bridge: sehemu ya kuingilia ambayo haipo kwenye public consensus, ikijumuishwa na pluggable transport kama vile obfs4 au Snowflake inayofanya trafiki kuwa ngumu kutambulika. Tor Browser inakuja na zote mbili, na hakuna kampuni ya tatu inayohitaji jina lako.

FAQ

Je, Tor ni VPN ya bure tu?

Hapana. VPN hutuma trafiki yako kupitia seva moja inayoendeshwa na kampuni moja inayoweza kuona anwani yako halisi na kila unakoenda, hivyo inabadilisha ISP wako na mtoa huduma uliyemchagua. Tor hutuma trafiki kupitia relays tatu zinazoendeshwa na watu tofauti, ambapo guard relay inakuona wewe lakini haioni tovuti unayotembelea, na exit relay inaona tovuti lakini haikuoni wewe. Tor pia inafanya kazi kwa TCP pekee, ni polepole zaidi, na inazuiwa au kupewa changamoto na tovuti nyingi, kwa hivyo si mbadala wa moja kwa moja kwa matumizi ya kila siku ya VPN.

Je, ISP wangu anaweza kujua kuwa ninatumia Tor?

Kwa chaguo-msingi, ndiyo. Anwani za relays huchapishwa kwenye orodha ya umma, kwa hivyo mtoa huduma wako anaweza kuona unaunganisha kwenye guard relay inayojulikana. Hawezi kuona tovuti unazofikia. Ili kuficha matumizi yenyewe, Tor Browser hutoa bridges zenye pluggable transport kama vile obfs4 au Snowflake, ambazo huunganisha kupitia sehemu ya kuingilia ambayo haipo kwenye orodha ya umma. VPN iliyowekwa mbele ya Tor pia huificha kutoka kwa ISP wako, na kumpa ukweli huo mtoa huduma wa VPN badala yake.

Je, kuendesha VPN kwenye VPS yangu mwenyewe kunanifanya nisiweze kutambulika?

Hapana. Seva hiyo imepangishwa kwa jina lako na kadi yako, kwa hivyo rekodi za malipo za mtoa huduma tayari zinahusisha anwani hiyo na wewe, na ombi moja kwa mtoa huduma linatosha kuzisoma. Anwani hiyo pia inatumiwa na wewe pekee, kwa hivyo kila kitu kinachotoka hapo ni cha mtu mmoja na kinaweza kuhusishwa na wewe kwa muda wote unaomiliki seva hiyo. VPN unayojiendeshea ni zana madhubuti ya faragha dhidi ya mtandao wa ndani, lakini ni zana dhaifu ya kutokutambulika dhidi ya mtu yeyote anayeweza kumuhoji mtoa huduma wako.

Kwa nini tovuti hunizuia au kunionyesha CAPTCHA ninapotumia Tor?

Kwa sababu anwani za exit relay ni za umma na zinashirikiwa na watu wengi sana, hivyo matumizi mabaya yanayotoka kwa mtumiaji yeyote kati yao huambatishwa kwenye anwani unayotumia. Mitandao ya kusambaza maudhui (CDN) huipa anwani hizo alama mbaya na kujibu kwa changamoto, 403 Forbidden, au fomu ya kujiandikisha inayokataa kuwasilishwa. Hakuna kitu upande wako kinachoweza kuondoa hili. Circuit mpya inakupa exit nyingine, ambayo wakati mwingine huwa na sifa bora zaidi.

Nikitumia VPN, je, bado ninaweza kuvujisha DNS queries zangu?

Unaweza, na ni jambo la kawaida. Ukiwa na full tunnel na bila resolver iliyowekwa kwa ajili ya interface ya tunnel, mteja wako huendelea kutumia resolver aliyojifunza kutoka kwenye mtandao wa ndani, na njia ya kuelekea resolver hiyo iko kwenye link, kwa hivyo inashinda njia ya chaguo-msingi ya tunnel. Queries zako basi hutoka zikiwa wazi (cleartext) wakati kila kitu kingine kimesimbwa. Endesha resolvectl status na uthibitishe kuwa DNS server iliyoorodheshwa kwa ajili ya link inayobeba njia yako ya chaguo-msingi ni resolver ya tunnel, si router yako ya ndani.