Hacker News Digest

Tor Project подтверждает, что не прекращает техническое сотрудничество с Mullvad, несмотря на обеспокоенность сообщества из-за политического пожертвования сооснователя Mullvad. Решение принято после тщательной проверки, включающей обсуждения с сообществом, опрос сотрудников, анализ финансов и планирование сценариев. Организация подчеркивает, что её миссия — защита прав человека, включая конфиденциальность, свободу слова и доступ к информации, и что сотрудничество должно служить этой цели, а не подрывать её.

Техническое сотрудничество с Mullvad привело к улучшению структуры, поддерживаемости и аудируемости кода Tor Browser, расширило обратную связь от пользователей и создало более безопасную среду для тестирования функций, полезных для Tor Browser. Оно также обеспечивает доступ к конфиденциальности через дополнительный бесплатный открытый инструмент — Mullvad Browser — удовлетворяющий разные потребности пользователей. Однако Tor Project приостановил совместное брендинговое продвижение и пересмотрел описание Mullvad Browser на своих каналах, убрав формулировки, которые могли подразумевать более широкое согласие по ценностям. Организация признаёт, что решение может подорвать доверие части сообщества, но считает, что принцип и прагматизм необходимы для долгосрочной защиты прав человека в условиях ограниченных ресурсов.

Обсуждение раскрывает поляризацию вокруг трактовки свободы слова в контексте ассоциаций FOSS-проектов и недостаток прозрачности в решениях Tor Project. Один участник считает свободу слова абсолютной, за исключением призывов к насилию; другие утверждают, что свобода ассоциации позволяет организациям отказываться от связей с речью, угрожающей правам человека. Некоторые видят в сохранении связей Tor Project с Mullvad компромисс; другие — поддержку экстремизма, так как пожертвование было сделано в пользу этно-националистической партии Швеции. Спор: является ли отказ от ассоциации с политически спорной организацией цензурой или легитимным актом свободы ассоциации? Одни ссылаются на классический либерализм, другие — на реальные последствия речи. Участники обсуждают границы свободы слова: одни указывают на юридические исключения (клевета, мошенничество, государственная измена); другие настаивают, что любые исключения подрывают её абсолютность. Многие отмечают, что Mullvad завоевала доверие благодаря надёжности продукта и отсутствию агрессивной рекламы, что объясняет её финансовую устойчивость. Tor Project не раскрыл детали политического пожертвования, что вызвало раздражение и подозрения в недостатке прозрачности. Некоторые указывают, что Tor Project исторически получает значительное финансирование от американского военного ведомства, что ставит под сомнение его моральную независимость. Совет: если FOSS-проекты хотят сохранить доверие, им следует избегать корпоративного стиля в коммуникациях и говорить искреннее, как раньше. Другие советуют публиковать детальный анализ рисков и выгод от сотрудничества с Mullvad, чтобы обосновать решение сообществу. Также отмечается, что для сохранения репутации защитника прав человека Tor Project должен чётко определять, какие права находятся под угрозой из-за политических взглядов сооснователя Mullvad. Многие подтверждают, что Mullvad Browser популярен среди пользователей, ценящих приватность, и его связь с Tor Project воспринимается как важная часть экосистемы. Один участник указывает, что концепция «ремиграции», поддерживаемая партией, получившей пожертвование, означает этническую чистку, делая ассоциацию с ней морально неприемлемой, а не просто политически спорной.

Obscura — это VPN, построенный так, чтобы провайдер не мог видеть ни ваш IP-адрес, ни ваш интернет-трафик. В отличие от традиционных «no-log» VPN, которые всё равно видят, кто вы и куда вы ходите, Obscura разделяет вашу личность и ваш трафик по дизайну: ваш трафик шифруется end-to-end через WireGuard до exit-сервера, а серверы Obscura лишь передают соединение, не имея возможности его расшифровать. Exit-серверы, управляемые Mullvad, видят только зашифрованный трафик и не знают, кто вы — они видят только IP-адрес Obscura и destination-сайты, но не ваш реальный IP или личность.

Для входа не требуется email, имя или номер телефона — используется случайный номер аккаунта (например, OBS-20848919). Оплата возможна через Bitcoin Lightning Network и Monero, что дополнительно повышает анонимность. Обфускация трафика позволяет Obscura маскироваться под обычный интернет-трафик, обходя сетевые фильтры и цензуру. Сервис доступен на macOS, iOS, Android, Windows и Linux. Как отмечает создатель Carl Dong, Obscura — это не обещание приватности, а приватность, заложенная в архитектуру: «Мы не можем утечь тем, чего не имеем».

Обсуждение показывает, что заявленные преимущества Obscura вызывают сомнения: юридическая юрисдикция США, зависимость от Mullvad, схожесть с существующими мульти‐хоп решениями и ограниченная ценность маркетинговых обещаний о полной анонимности. @maxloh утверждает, что американская юрисдикция позволяет скрытно принудить компанию к логированию; @dongcarl отвечает, что мульти‐парти релеи снижают необходимость доверять единой стороне. @barathr и @skaul отмечают, что архитектура Obscura почти идентична Apple Private Relay и другим многократным прокси‐системам, не представляя нового уровня анонимности. Клиентская часть открыта (GitHub), но серверный код закрыт — полное доверие к провайдеру необходимо. @MassPikeMike считает, что оплата Bitcoin или Monero не повышает приватность; оппоненты указывают, что многие видят в криптовалютах способ избежать KYC, но аналитика Chainanalysis это опровергает. @RandomGerm4n советует использовать Mullvad напрямую или комбинировать его с другими провайдерами, так как добавление Obscura избыточно для обычных no‐log сценариев. @iAMkenough подчёркивает, что единой точкой отказа остаётся Mullvad: если он прекратит сотрудничество, Obscura перестанет работать. @saligne сомневается в эффективности QUIC для обфускации в странах с жёсткой цензурой — протокол часто блокируется или ограничивается. @maxloh и @dongcarl согласны, что многие функции, рекламируемые Obscura, уже реализованы в Mullvad: отсутствие логов и поддержка WireGuard. @btown напоминает, что эффективность сети приватности зависит от популярности входного узла — редкие узлы облегчают идентификацию. @ysnp предлагает разработать общий протокол, позволяющий пользователям выбирать любые два независимых провайдера для мульти‐хоп соединения без обязательных бизнес‐связей.

Mullvad закрывает свои публичные зашифрованные DNS-серверы (DoH), запущенные в 2022 году, и переходит на финансовую поддержку Quad9 как лидера в области конфиденциального DNS. Внутри VPN Mullvad эти серверы были избыточны, так как весь трафик уже шифруется, а внутренние DNS обрабатывают запросы. За пределами VPN они использовались Mullvad Browser по умолчанию для защиты от наблюдения со стороны провайдера и предлагались как бесплатный публичный сервис для всех.

С 2 ноября 2026 года пользователям, вручную настроившим DoH-серверы Mullvad, необходимо перейти на Quad9, следуя официальным руководствам. Mullvad Browser с настройками по умолчанию или с включённой блокировкой рекламы автоматически переключится на Quad9. Пользователи с кастомными настройками DoH должны вернуть их к значениям по умолчанию, иначе изменений не произойдёт. Профили DoH для iOS и macOS перестанут работать и должны быть заменены на официальные профили Quad9 для соответствующих систем. Mullvad сосредоточит ресурсы на поддержке Quad9, а не на дублировании её усилий.

Закрытие публичного DNS Mullvad ослабляет децентрализацию и устойчивость к цензуре, так как пользователи концентрируются вокруг меньшего числа операторов, а судебные блокировки становятся эффективнее. Quad9 признан технически надёжным, но не заменяет разнообразие резолверов. Для обхода национальных блокировок и фильтрации рекламы рекомендуются: - локальный кэширующий резолвер Unbound с публичными чёрными списками; - NextDNS, ControlD, AdGuard DNS и joindns4.eu (в отличие от Quad9, не блокирующего рекламу); - numa с odoh-режимом для приватности и фильтрации (самоподдерживаемый проект без широкой проверки). Запуск собственного резолвера предпочтительнее централизованных сервисов из-за риска одноточечных отказов и уязвимости для спецслужб — критики считают, что часть таких сервисов уже может быть скомпрометирована, как узлы Tor. Quad9 блокирует домены в Европе по судебным постановлениям, что отличает его от Mullvad и ставит под сомнение его нейтральность как замены. Также обсуждается риск подделки DNS-ответов из-за отключения DNSSEC на фронтенде, хотя Quad9 объясняет это предотвращением BOGUS-ответов. На Windows DoH часто работает нестабильно из-за закрытия TCP-соединений между запросами. Утверждение о «высокоспециализированном» характере публичного DNS считается преувеличенным: Unbound настраивается за пару часов с помощью чёрных списков без специальных знаний.

That's absolutely sad to read." – this line appears in a post on a decentralized network, reflecting disappointment with recent statements by the head of the privacy‑focused VPN Mullvad. The leadership’s involvement in a controversy is seen as disheartening, especially given Mullvad’s reputation for strong anonymity and no‑logs policies. Viewing the conversation on the web version of Mastodon requires JavaScript, with a fallback to native apps for browsers without script support.

The controversy stems from a leaked internal memo where the CEO voiced support for a policy critics say erodes user privacy, sparking heated debate. At the same time, the technical note reminds users that the Mastodon web interface depends on JavaScript, and those unable to run it can use dedicated apps on Android, iOS or desktop. This mix of ethical concerns and platform constraints shows how even privacy‑oriented services face scrutiny and technical limits today. The situation underscores the broader tension between privacy advocacy and corporate governance in the fediverse.

• Обсуждается, что сооснователь Mullvad Даниэль Бернтссон финансирует экстремальную шведскую партию Örebropartiet, что вызвало споры о политике компании.
• Участники делятся мнениями: одни считают партию правым популистским движением, другие – левым популистским с радикальными взглядами на миграцию.
• Мнения разделяются: некоторые пользователи продолжат пользоваться Mullvad, другие отменяют подписку из-за политических возмущений.
• Есть запросы к альтернативным VPN‑провайдерам и обсуждение того, насколько политические убеждения должны влиять на выбор сервисов.

Ключевые выводы исследования

• 8 популярных коммерческих VPN обслуживают >700 млн пользователей, но скрывают собственность и имеют критические уязвимости.
• 3 VPN связаны с НОАК Китая, у остальных найдены признаки китайского контроля.
• Отсутствие прозрачности позволяет злоумышленникам снимать шифрование и перехватывать трафик.

Почему важна прозрачность
VPN переносят доверие от интернет-провайдера к самому сервису. При выборе пользователи должны решить:

• Прозрачность — знать, кто видит данные.
• Анонимность — не знать, но полагаться на обещания.

Риски для пользователей

• Авторитарные государства могут использовать скрытые связи VPN для слежки.
• Отсутствие публичной информации о владельцах и разработчиках усиливает уязвимости.

• Коммерческие VPN часто продаются через страх не-технических пользователей, хотя реальные сценарии — это обход геоблоков, торренты и «неполиткорректный» контент.
• Модель доверия к единому VPN-узлу критикуется; предлагаются решения вроде iCloud Private Relay и MASQUE-релеев, разделяющих «кто» и «что».
• Подозрения вызывают «популярные» VPN (Nord, Express), их рекламные бюджеты и возможные связи с разведками; Mullvad считается одним из самых прозрачных, но его IP-адреса всё чаще банят.
• Некоторые «бесплатные» или малоизвестные VPN/прокси-сервисы превращают клиентов в узлы резидентного прокси и продают их трафик третьим лицам.
• Даже при смене IP браузерное фингерпринтирование легко идентифицирует пользователя; HTTPS сделал старые аргументы «VPN для безопасности в публичном Wi-Fi» почти бесполезными.

Я использую Tailscale около четырех лет, чтобы объединять свои устройства, серверы и приложения. Расскажу, как применяю его, о полезных фишках и подводных камнях.

Tailscale — это по сути оркестрация WireGuard с приятными надстройками. Продукт по подписке, но у него очень щедрый бесплатный тариф для личного использования. Клиенты — с открытым исходным кодом; есть и сторонний контроль-сервер Headscale, если не хочется облака.

Базовое подключение

Tailscale позволяет легко связать устройства, даже если они не торчат в интернет. Ставите клиент на телефон/компьютер/сервер/Raspberry Pi, авторизуете — и он общается с остальными по приватным IP Tailscale.

Это обычная идея VPN, но здесь всё просто: не нужно настраивать сеть и раздавать ключи — ставите клиент и логинитесь.

Например, мой домашний автоматизационный сервис на Raspberry Pi за двумя роутерами: поставил Tailscale, вошел — и сразу могу SSH с ПК или телефона, даже из разных сетей.

Есть особая поддержка SSH: Tailscale принимает подключения на 22 порт с tailnet и сам выполняет аутентификацию. Никаких ключей и паролей: вошли в Tailscale — можете войти на машину. Особенно удобно с телефона, где управлять ключами неудобно.

Можно публиковать не целую машину, а отдельные сервисы как отдельные узлы tailnet: есть официальный Docker-образ, Go-библиотека, и сторонние инструменты (например, мои Centauri и tsp).

Это больше, чем VPN

Чтобы не запоминать IP, я долго вручную добавлял DNS-записи. Перешел на MagicDNS — он автоматически создает DNS по имени машины.

Сначала меня смущало, что он меняет резолвер на устройствах — “слишком магично”. Разобрался, привык. Можно задать и свой upstream DNS. Я везде использую NextDNS, и Tailscale сам настраивает его на всех устройствах.

Помимо коротких имен, есть формат machine.your-tailnet.ts.net. Его можно «перебросить» на глобальную маршрутизацию и получить TLS-серты.

Нужно быстро показать локальный сервис? Включите funnel: tailscale funnel 127.0.0.1:8080 Без доп. опций сервис будет доступен по HTTPS:443. Дайте ссылку https://machine.your-tailnet.ts.net — трафик пойдет на ваш 8080. У посетителей Tailscale не нужен. Пользуюсь редко, но удобно.

Команда serve делает похожее, но только внутри tailnet. Так же работает Docker-образ Tailscale для публикации обычного сервиса. Для тестов с телефона: вместо танцев с Wi‑Fi/локалхостом/IP просто запускаю tailscale serve и захожу с устройства.

• Включение tailscale funnel мгновенно привлекает ботов, сканирующих новые HTTPS-сертификаты из CT-логов.
• Пользователи делятся альтернативами: Headscale, NetBird, Nebula, Zerotier и «чистый» WireGuard.
• Mullvad-интеграция позволяет использовать выходные ноды Tailscale для смены геолокации.
• Настоятельно не рекомендуют запускать dev-серверы и OIDC-серверы через funnel из-за риска блокировки и атак.
• Чтобы не светить домены, применяют wildcard-сертификаты и нестандартные порты.
• Tailscale собирает телеметрию по умолчанию; её можно отключить, но это не анонимный VPN.