Onion Routing：分层加密如何在线保护您的身份
什么是 Onion Routing
Onion routing 是迄今为止最强大的隐私保护技术之一。其名称源于它的工作原理：就像洋葱拥有多层结构一样，您的数据在互联网上传输之前，会被一层又一层的加密包裹。每一层只能由负责处理该层的特定服务器解开，从而使任何单一观察者都无法获知您的身份和目的地。
Onion routing 最广为人知的应用是 Tor 网络（The Onion Router），它被记者、活动人士、隐私研究人员以及希望匿名浏览的普通用户广泛使用。
---
工作原理
以下是其工作流程的简要说明：
- 您的设备选择路径。 在发送任何数据之前，软件会随机选择一条由服务器组成的链路——称为"节点"或"中继"——通常包含三个节点。这些节点由分布在全球各地的志愿者运营的计算机组成。
- 数据进行分层加密。 您的数据会被加密三次——每个中继节点对应一层。可以将其想象成将一封信密封在三个信封中，每个信封分别写着不同收件人的地址。
- 每个中继节点剥去一层。 第一个中继节点（"入口节点"）解密最外层。它知道流量的发送者，但不知道最终目的地，随后将数据传递给下一个中继节点。
- 中间节点负责转发。 中间中继节点只知道上一个和下一个中继节点——对您的身份和目的地一无所知。
- 出口节点发送请求。 最后一个中继节点（"出口节点"）解密最后一层，并将您的请求发送至实际的网站或服务器。它知道目的地，但不知道流量的原始发送者。
没有任何单一中继节点能掌握完整信息。这正是 onion routing 在匿名保护方面极为有效的原因——对信息的分割隔离被内置于架构本身之中。
---
对 VPN 用户的意义
VPN 和 onion routing 解决的问题有所重叠，但各有侧重。标准 VPN 会加密您的流量并对 ISP 隐藏流量内容，但 VPN 提供商仍然能够看到您的真实 IP 地址以及您所连接的目的地。本质上，您只是将信任从 ISP 转移到了 VPN 提供商。
Onion routing 采用了不同的方式。由于流量经过多个独立中继节点并进行分层加密传输，没有任何单一实体——甚至包括网络运营商——能够将您的身份与您的网络活动关联起来。正因如此，一些 VPN 提供商现在提供"VPN over Tor"或类似的多跳配置。
然而，onion routing 也存在实际的取舍：
- 速度： 经过三个或更多中继节点路由会显著增加延迟，不适合流媒体或游戏场景。
- 出口节点风险： 如果您访问的是 HTTP（非 HTTPS）网站，出口节点可以看到未加密的流量。
- 并非万能： 在使用 Tor 时登录个人账户等操作失误仍可能暴露您的身份。
---
实际应用场景与使用案例
记者和举报人使用 onion routing 与消息来源进行通信，而无需暴露任何一方的位置。SecureDrop 等工具正是基于 Tor 构建，专为此类场景设计。
限制性国家中的活动人士使用它绕过审查，在政府监控互联网流量的环境下自由通信。
注重隐私的研究人员使用它调查恶意软件、极端主义内容或暗网市场，同时避免暴露机构 IP 地址。
普通隐私用户使用 Tor 只是为了避免被广告商、数据经纪商或监控系统建立用户画像。
对于 VPN 用户而言，了解 onion routing 有助于厘清 VPN 能保护什么、不能保护什么。VPN 为您提供对 ISP 的隐私保护，并向网站隐藏您的 IP 地址；而 onion routing 提供了更强的匿名模型——但代价是可用性的降低。将两者结合使用，可以为敏感活动提供多层次的保护。
---