OPSEC52 / Неделя 1 — дисциплина VPN-выхода

Если логин в биржу и сессия Tor выходят через одну и ту же точку, мост между ними построили вы сами. Меняйте сервера, разделяйте контексты, исходите из того, что всё рано или поздно свяжется.

Модель угроз: коррелятор (chain-аналитик, ISP-противник, compliance-команда биржи), пытающийся связать формально несвязанные аккаунты через общий exit-IP. Уровень: базовый · Стоимость: $0 (с той VPN, что у вас уже есть) · Опубликовано: 2026-06-02

Суть практики

VPN делает две вещи, и большинство пользователей думает только о первой. Она прячет ваш настоящий IP от назначения и выдаёт назначению один и тот же exit-IP для всех соединений через этот туннель. Если вы не ротируете, второе свойство утекает больше, чем первое защищает.

Конкретный пример: во вторник вы логинитесь в KYC-биржу (Bybit, Kraken, неважно) с VPN-выхода 199.21.x.y. В среду вы открываете Tor Browser, тоже выходя через тот же VPN-выход (потому что делаете Tor over VPN ради «лишнего хопа»). Заходите на приватный форум, отправляете адрес Monero покупателю, занимаетесь тем, чем занимаетесь в приватном контексте. Compliance биржи + оператор форума + логи вашего VPN-провайдера (если они есть) теперь делят частично совпадающую таймлайн: один и тот же exit-IP, два разных контекста идентичности, разнесённые на часы. Корреляция тривиальна — даже если VPN-провайдер никогда вас не видел. Противнику не нужно видеть вас; ему нужно видеть паттерн.

Exit VPN — это отпечаток. Использовать его повторно между контекстами идентичности — то же самое, что использовать один и тот же ник.

Исправление операционное, а не техническое. Большинство современных VPN-клиентов позволяют выбирать сервер выхода (или страну) для каждого профиля. Не нужен отдельный VPN-провайдер для каждого контекста — нужен отдельный exit для каждого контекста.

Как применить сегодня

Разложите свои контексты идентичности. Минимум три: KYC-стек (биржи, банки, всё привязанное к реальному имени), псевдонимный стек (форумы, X-аккаунт, GitHub если под псевдонимом), безлицевой стек (Tor, приватные сервисы, Monero-свопы). Некоторые добавляют четвёртый — исследовательский стек (только чтение, без логинов).
Назначьте exit (или страну) на каждый контекст. Mullvad, IVPN, Proton позволяют закладку города или конкретного сервера. Выберите три-четыре города и используйте их стабильно. Не делите города между контекстами.
Выработайте привычку переключаться при смене контекста. Самый простой паттерн: отдельные профили браузера под каждый контекст, в каждом профиль VPN заранее подключён. Firefox containers, профили Brave, или вообще разные браузеры (Tor Browser для безлицевой, Brave для псевдонимный, обычный Chrome для KYC — граница доверия заодно работает визуальной подсказкой).
Ротируйте и внутри каждого контекста. Даже внутри псевдонимного стека меняйте город раз в несколько недель. Это убивает долгосрочный статический фингерпринт.
Для Tor over VPN выберите VPN-выход, который не используется больше нигде. Ротация exit-IP у Tor сама закрывает сторону назначения; важна сторона входа — IP, который VPN отдаёт Tor’у. Этот вход не должен появляться ни в одном не-Tor-соединении.

Типичные ошибки

Глобальный «auto» или «самый быстрый сервер». Маршрутизация ради удобства снова и снова выбирает один и тот же exit. Удобство убивает дисциплину.
Общий exit между KYC- и псевдонимным стеком. Самый частый прокол. Стоит одному логину пересечь потоки — весь дальнейший поток связан навсегда.
Уверенность, что «no-logs» означает «корреляция IP невозможна». No-logs — это про записи у провайдера. Назначение по-прежнему видит ваш exit-IP. Корреляция происходит ниже по стримам, а не у провайдера.
Забыть про мобилу. Телефон коннектится к десяткам сервисов. Если он автоматически уходит через тот же exit, что и ноутбук с Tor, — вы их связали. Мобиле нужна своя карта контекстов.
Использовать «выделенный IP» для псевдонимной идентичности. Выделенные IP уникальны для вас. Для OPSEC — худший возможный вариант.

Смотри также

Listings на xmr.club (где живут эти выборы):

/vpns/mullvad — port forwarding, анонимная оплата, без email, выбор сервера
/vpns/ivpn — open-source клиенты, multi-hop, анонимная оплата
/vpns/proton-vpn — Secure Core, P2P-friendly, менее анонимная регистрация

Цитированные источники:

@kyc_rip OPSEC tip (2026-05-29) — «Stop using the same VPN exit for everything. If your exchange login and your Tor session share an endpoint, you’ve built the bridge yourself…» — стартовый пост этой недели
@DoingFedTime OPSEC365 (ежедневная серия Sam Bent — подписаться стоит)
PrivacyGuides — секция VPN

Соседние недели #OPSEC52 (готовятся):

Неделя 2 — дисциплина entry-guard Tor (зеркало этой недели на стороне входа)
Неделя 3 — браузерные контейнеры и разделение контекстов (слой над сетевой маршрутизацией)

#OPSEC52 — еженедельная OPSEC-серия xmr.club. Куратор: Cyber Satoshi. Индекс серии: /opsec. Строится как дополнение (а не замена) ежедневной серии Sam Bent #OPSEC365 — стоит следить за обеими.