⚠️ UYARI: Tor VPN henüz deneme aşamasındadır. Denemek dışında hiçbir şey için buna güvenmeyin. Bilgi sızıntısı olabilir ve önemli konularda güvenilir değildir.
Tor VPN temellerini anlamak.
Tor VPN özellikleri.
Tor VPN ile internet sansürünü nasıl aşacağınızı anlayın
Sık karşılaşılan sorunları giderme ve sorunlarla karşılaştığınızda destek ekibiyle görüşme yolları
Tor VPN güvenlik özellikleri
Tor VPN temellerini anlamak.
Tor VPN, kullanıcıların aygıtınızdaki diğer uygulamaları Tor ağı üzerinden geçiren Tor destekli bir uygulamadır. Tor VPN, Tor kullanmanın gizlilik özelliklerinden yararlanır, gerçek IP adresinizi gizler ve sizi izlenmeye ve sansüre karşı korur.
⚠️ UYARI: Tor VPN henüz deneme aşamasındadır. Denemek dışında hiçbir şey için buna güvenmeyin. Bilgi sızıntısı olabilir ve önemli konularda güvenilir değildir.
Tor ağı, internet üzerinde gizliliğinizi ve güvenliğinizi arttırmanızı sağlayan bir sanal tünel ağı olarak tanımlanabilir. Tor, trafiğinizi Tor ağındaki üç rastgele sunucu (aktarıcı olarak da bilinir) üzerinden geçirerek çalışır. Devredeki son aktarıcı ("çıkış aktarıcısı") daha sonra trafiği herkese açık internet üzerine gönderir. Tor ağını kullanmak, ağdaki tek bir noktanın trafiğin nereden geldiğini ve nereye gittiğini görmesini engellediğinden kullanıcının internet etkinliklerini izlemeyi zorlaştırır. Trafiğin hedefini (yani ziyaret ettiğiniz sitelerin adlarını ve adreslerini) internet hizmeti sağlayıcınızdan (ISP) ve bağlantınızı yerel olarak izleyen kişilerden gizler. Gezindiğiniz sitelerin ve hizmetlerin işletmecileri ile bunları izleyen herkes, gerçek internet (IP) adresiniz yerine Tor ağından gelen bir bağlantı görür.
Tor VPN, Tor Project tarafından geliştirilen ücretsiz ve açık kaynaklı bir yazılımdır. Tor temelli bir uygulama olan Tor VPN, kullanıcıların aygıtlarındaki diğer uygulamaları Tor ağı üzerinden geçirmek için kullanılabilir. Tor VPN, trafiği Tor ağındaki aktarıcılar üzerinden geçirerek Tor ağının kullanılmasından yararlanır. Tor VPN kullanmanın bazı önemli alanları ve avantajları:
Tor VPN yalnızca Android üzerinde kullanılabilir.
Tor VPN özgür bir yazılımdır. Özgürdür. Hem özgür yazılım hem de ücretsiz anlamında edinilebilir. Doğru Tor VPN uygulamasını kurduğunuzdan emin olmak için, lütfen aşağıda belirtilen resmi kaynaklardan indirin.
Tor VPN yalnızca Android işletim sistemi üzerinde kullanılabilir ve şunlar gerekir:
Android tabletler ve Chromebook aygıtları desteklenmez.
Tor VPN uygulaması Google Play Store üzerinden indirilip kurulabilir.
Tor VPN F-Droid üzerinden indirilip kurulabilir.
Kurulduktan sonra, Tor VPN uygulamasını Play Store içindeki "Aç" üzerine tıklayarak ya da telefonunuzda kurulu uygulamalar listesini kullanarak başlatabilirsiniz. "Bağlan" ekranında, varsayılan olarak telefona kurulmuş tüm uygulamalar, "Tüm uygulamalar korunsun" seçeneği açık olacak ve Tor VPN üzerinden bağlanacak şekilde yapılandırılmıştır.
İlk başlatmadan Tor VPN bağlantısı kurulana kadar ekran sırası
Tor VPN uygulamasını her başlatıldığında önceden kaydedilmiş ayarlar ile Tor ağına otomatik olarak bağlanacak şekilde yapılandırabilirsiniz.
Tor VPN uygulamasını her başlatıldığında otomatik olarak bağlanacak şekilde yapılandırmak.
Tor VPN uygulaması her zaman güncel tutulmalıdır. Uygulamanın eski bir sürümünü kullanmayı sürdürürseniz, gizliliğinizi ve anonimliğinizi tehlikeye atabilecek ciddi güvenlik açıklarıyla karşılaşabilirsiniz.
Tor VPN uygulamasını mağazalardan güncelleyebilirsiniz.
Tor VPN doğrudan Google Play Store veya F-Droid üzerinden ya da mobil aygıtınızın uygulama ayarlarından kaldırılabilir.
Tor VPN özellikleri.
Varsayılan olarak, telefonunuza kurulmuş tüm uygulamalar, Android ve Orbot için Tor Browser gibi Tor destekli uygulamalar dışında, Tor VPN üzerinden bağlanacak şekilde yapılandırılmıştır.
Yalnızca belirli uygulamaların Tor VPN kullanması ve trafiklerinin Tor ağı üzerinden geçirilmesi sağlanabilir.
Uygulamaları Tor VPN kullanacak şekilde yapılandırmak
Çıkış aktarıcısı, her bir Tor devrenizdeki son duraktır. Tor VPN yalnızca belirli bir ülkedeki çıkış aktarıcılarını seçecek şekilde yapılandırılabilir.
Tor ağı ile bağlantı kurarken, siteler ve uygulamalar Tor çıkış aktarınızla aynı ülkeden bağlandığınızı düşünecektir.
Tor bağlantılarının çıkış konumunu yapılandırmak için:
Tor bağlantılarının çıkış konumunu yapılandırın
Tor ağına erişilemediğinde, 'Bağlantı kesici' özelliği uygulamaların internete bağlanmasını engellemek için kullanılabilir.
'Bağlantı kesici' özelliğini açmak için:
Tor VPN uygulamasının telefonunuzda nasıl görüneceğini ayarlayın.
Uygulama simgesinin görünümünü ve uygulamanın adını değiştirmek için:
Tor VPN uygulamasının aygıtınızda nasıl görüneceğini ayarlamak.
Tor VPN ile internet sansürünü nasıl aşacağınızı anlayın
Bazen doğrudan Tor ağına erişim engellenebilir. Bu durumda, Tor VPN, köprüler olarak bilinen engellemeyi aşma araçlarıyla birlikte kullanılabilir.
Yaygın sorun giderme adımlarını denedikten sonra, Tor VPN uygulaması hala Tor ağı ile bağlantı kuramıyorsa, Tor ağı ile bağlantı kurmanız engelleniyor olabilir. Bu durumda, hazır sansürü aşma yöntemlerinden biriyle bağlantı kurmak yardımcı olabilir.
Tor VPN, şu köprü türlerini destekler:
Bulunduğunuz yere bağlı olarak, bir köprü türü diğerinden daha iyi sonuç verebilir.
Hazır obfs4 ve Snowflake sansürü aşma yöntemleri işe yaramazsa, başka köprüler istemeniz gerekir. Köprü adresleri herkese açık olmadığından, bunları doğrudan uygulamadan sizin istemeniz gerekir:
Köprüleri e-posta veya köprüler sitesi ile aldıysanız, el ile eklemeniz gerekir.
Tor VPN uygulamasını köprüleri kullanacak şekilde yapılandırmak
Sık karşılaşılan sorunları giderme ve sorunlarla karşılaştığınızda destek ekibiyle görüşme yolları
Tor VPN çalıştırırken sık karşılaşılan sorunları gidermek.
Tor VPN bağlantısı kurulamıyorsa, bir hata iletisi görebilirsiniz:
Tor VPN bağlantı hatası.
Sorunu gidermek için şunları deneyin:
Tor VPN uygulamasının günlüklerine bakmak, sorunun anlaşılmasına yardımcı olabilir. Tor VPN günlüklerini almak için:
00:00:00:00 W/onionmasq: onion_tunnel::runtime: Arti failed to connect to [2a00:ccc1:1:2c::1]:9000: Network is unreachable (os error 101)
00:00:00:00 W/onionmasq: tor_chanmgr::transport::default: Connection to [scrubbed] failed: error: Network is unreachable (os error 101)
00:00:00:000 E/onionmasq: onionmasq_mobile::ffi: runProxy() returned error: couldn't start onionmasq proxy
00:00:00:000 CONNECTION_ERROR
00:00:00:000 D/onionmasq: onionmasq_mobile: closing proxy...
Bu durumda engellemeyi aşma yöntemlerinden birini denemek işe yarayabilir.
Destek ekibiyle nasıl görüşülür, bir hata nasıl bildirilir veya nasıl geri bildirim verilir.
Belgelerimizde yanıtı bulunmayan bir sorunla karşılaşırsanız, lütfen sorun giderme adımlarına bakın. Bu da işe yaramazsa, lütfen bir hata bildirimi gönderin veya destek ekibimizle görüşün.
Bize bir destek isteği, hata ya da fikir iletirken olabildiğince şu bilgileri eklemeye çalışın:
Yeni bir konu açmak için Tor forumunda bir hesap açın. Lütfen tartışma yönergelerimizi inceleyin ve bir şey sormadan önce var olan konular arasında olup olmadığına bakın.
Bir hata bildirecekseniz, lütfen bunu hata izleyicimizden yapın. Lütfen hatanın daha önce bildirilmiş olup olmadığına bakın. Tor VPN ile ilgili tüm hata bildirimlerini aramak ve görüntülemek için lütfen Tor VPN deposuna gidin.
Yeni bir hata bildirimi oluşturmak için, Tor Project GitLab kopyasına erişmek üzere yeni bir hesap isteyin. Hata bildirimini Tor VPN deposuna gönderin.
@TorProjectSupportBot üzerinden bize ileti gönderin.
frontdesk@torproject.org adresinden bize e-posta gönderin
Lütfen e-postanızın konusuna bize neyi bildirdiğinizi yazın. Konu satırınız ne kadar belirleyici olursa, bizim için anlamak ve izlemek o kadar kolay olur. Bazen konu satırı olmayan e-postalar aldığımızda, bunlar istenmeyen ileti olarak işaretlenir.
+447421000612 üzerinden bize ileti gönderin.
+17787431312 üzerinden bize ileti gönderin.
Tor VPN güvenlik özellikleri
Bu belgede Tor VPN güvenlik özellikleri ile ilgili bilgiler bulunur. Tor VPN tarafından sağlanan faydaların doğasını ve ne zaman geçerli olduklarını açıklar. Bu tehdit modeli belgesinin hedef kitlesi arasında geliştiriciler, kullanıcı arayüzü tasarımcıları, belge yazarları, teknik eğitmenler ve teknik kullanıcılar bulunur.
August 6, 2025
Similar to Tor Browser, and unlike traditional VPNs, Tor VPN gives each application its own route through the Tor network. This feature prevents network adversaries from linking a user's private activity with their non-private activity.
In contrast to Tor Browser, the privacy benefits that Tor VPN provides depend highly upon the behavior of individual applications, the permissions granted to those applications, and the configuration of the base Android system.
For privacy-hostile applications in partial Tor mode, or for applications that users only occasionally use with Tor, Tor VPN provides only censorship circumvention and protection from network surveillance.
When used on properly configured privacy-enhanced Android distributions such as GrapheneOS, Tor VPN can provide additional privacy benefits even for privacy-hostile applications.
This document describes the nature of the benefits that Tor VPN provides and when they apply.
The Tor VPN threat model uses the ICTM methodology. ICTM specifies security invariants that the user can expect when using the software in a particular way or in a particular environment. An ICTM threat model starts from a point of "No Security" and adds security invariants when the software environment meets particular requirements.
We express what Tor VPN provides in terms of ICTM security invariants, which apply to specific application types and usage scenarios.
In our usage of ICTM, we define five ICTM security invariants that represent levels of privacy that Tor VPN provides. This document links these invariant terms in Capitalized Bold Italic to their definition sections.
These security invariants apply to the combination of four types of Android applications, two modes of Tor VPN (all-app or per-app), and five Android device configurations. This document links these classification terms in Capitalized Bold to their definition sections.
The combined outcome results in two threat model matrices that represent the ICTM security invariant that is active in a given situation.
The level of pseudonymity that Tor VPN provides to the user guides the overall threat model.
Tor VPN provides at least censorship circumvention to all selected apps.
Tor VPN does not magically make all apps anonymous or pseudonymous. If the user used their real name or even created their account without Tor, then they have no pseudonymity.
If the user uses a privacy-enhanced version of Android and is careful about their Google account setup and app usage, then Tor VPN can help protect the usage of a single pseudonym for the user of the device. (The user may try to use different names in different apps, but app behavior can link these pseudonyms to the Google account and/or to each other).
If the user uses privacy-preserving apps with proper configuration, then Tor VPN can enable the usage of separate pseudonyms in those apps. (When properly configured, an adversary cannot link the different pseudonyms used in distinct privacy-preserving apps).
Essentially, this threat model describes the circumstances under which the user obtains these different levels of pseudonymity protection.
The low-level VPN security properties and the ICTM security invariants support the Tor VPN threat model.
Two low-level security properties that the OnionMasq networking daemon provides support the ICTM security invariants. These low-level security properties must hold for the ICTM invariants to apply:
Network Leak Safety. Apps MUST NOT be able to bypass the VPN when it is enabled. This includes during device startup, if the VPN is not connected yet, or if the network is temporarily disconnected. The VPN industry calls this property a "Kill Switch", "Always On VPN Lockdown", or "On Demand". The Always-on Lockdown feature of Android 8 and above provides this property.
Network App Isolation. All network activity of each Tor-routed app MUST be isolated from other apps by using its own dedicated Tor circuit(s). Specific apps MAY bypass Tor entirely if the user chooses to allow this. Android 10 ve üzeri ConnectivityManager API uygulamaları bu özelliği sunar.
These are the security invariants that Tor VPN is capable of providing to individual apps. To simplify activation conditions, some invariants inherit the properties of earlier ones. We list these inherited invariants under each invariant.
The high-level conceptualization to keep in mind is that we are defining distinctions in the level of pseudonymity that the user can expect for an app: no pseudonymity, multi-app shared pseudonymity, per-app pseudonymity, and anonymity.
The next section lists the activation conditions under which they apply.
NOTE: Linkable Pseudonymity is a fragile state. As pseudonymous activity is linked together, the odds increase that there is some way to deanonymize some of that activity, thus deanonymizing all of it. One can conceptualize this invariant as providing "Multi-App Shared Pseudonymity," where all apps with Linkable Pseudonymity on the device effectively share the same pseudonym. This is why we require either the Pseudonymous Google Configuration or Google-Free Configuration for apps to gain this invariant. (Pseudonymity would otherwise vanish as soon as it was linked to a non-pseudonymous Google account.)
NOTE: One can conceptualize this invariant as providing "Per-App Pseudonymity." Because of Tor VPN's Network App Isolation, when this invariant is active for an app, its activity cannot be linked to non-private activity on the device. This is not the case for traditional VPNs, which allow the VPN operator and VPN endpoint observers to link such activity.
Our security invariants activate depending on what type of app is in use, the Tor VPN mode (per-app or all-apps), and properties of the base OS and configuration.
The lowest numbered invariant where an app matches these clauses is the invariant for that app.
A device may have multiple apps operating at different security invariant levels, depending on these conditions.
The Threat Model Matrices present this same activation information in table form.
Rationale: Surprisingly, this is a common failure mode for VPN apps among people who do not understand how they work.
Rationale: We cannot provide any additional security to a device that is already vulnerable to unfixed, publicly disclosed security flaws. We assume these public flaws can subvert any privacy or security properties the user would hope to gain by running Tor VPN.
Rationale: In per-app mode, apps that are not selected for Tor use get no protection. (Though they could if we implemented a per-app network block feature).
Rationale: Privacy-hostile applications can trick the user into opening URLs in apps that are not selected to use Tor and can link non-Tor activity to their activity.
Rationale: On all versions of Android, Privacy-hostile applications can use the
ACCESS_NETWORK_STATEAndroid permission to determine the SIM card IP address and can engage in data sharing with the ISP, which removes Network Privacy. On Stock Google Android (but not GrapheneOS), they can bind to the cell network interface to directly bypass the VPN for arbitrary network connections.
Rationale: We assume unmasked apps have no pseudonymity.
Rationale: Privacy-hostile apps can link their activity to the user's real name and Google account unless the user takes further steps.
Rationale: Pseudonym-friendly apps can be accidentally linked to a user's real name and Google account through push notifications, phone number authentication, and other mechanisms, unless the user takes further steps.
Rationale: The usage of Google push notifications links the pseudonymous app to the device's Google account, which is also pseudonymous in this configuration.
Rationale: Privacy-hostile apps can cooperate with other privacy-hostile apps on the phone to link activity, even without a device Google account.
Rationale: These device configurations prevent linkability of the pseudonymous app to the device's Google account.
Rationale: This device configuration isolates privacy-hostile apps from the device's Google account and from each other.
Rationale: Anonymity apps have no other identifiers other than the current IP address, which is now a Tor exit IP address.
As can be seen, our security invariants depend upon the app type and the Android device configuration. In this section, we define those applications and configurations specifically.
We classify Android applications into four types:
NOTE: Once an app is unmasked on a device, creating a new pseudonymous account in the same app does not remove this classification. In fact, due to the Android ID identifier behavior, deleting the app and reinstalling it in the same profile still allows a new pseudonym to be linked to the deleted one. A user must use the Isolated User Profile Configuration to create a new device user profile to use the app in an unlinkable way with respect to the current profile's Android ID for that app.
Architecturally, Tor VPN is capable of providing a high degree of unlinkability to applications on the same device, as we can see from the security invariants. Unfortunately, Android is an extremely privacy-invasive platform. The Android ecosystem has been built upon the same advertising model that the web has been built upon. Because Google controls Android and is the primary benefactor (if not sole conduit) of Android advertising revenue, Google designed the platform to maximize the ability to track usage and to link user activity together to build a comprehensive advertising profile of the user. This linkability is problematic even for apps that provide pseudonymity as a design goal, merely through their usage of the system APIs. The primary way that the system subverts pseudonymity is by associating the pseudonym with the Google account, most often through push notifications, but also through associating location information with the Android Advertising ID. On a stock Google Android, the device's Google account gets full device information: serial number, IMEI, IMSI, phone number, WiFi MAC address, full location history, and installed application list. We assume that any linking mechanism to the stock Android Google account provides deanonymization of a pseudonym. In these cases, apps can gain Network Privacy at most. The good news is that there are ways of configuring an Android device that improve the ICTM security invariant that Tor VPN can provide:
ACCESS_NETWORK_STATE permission, which gives access to all IP addresses on the device, along with a lot of other network interface information that can be used to track the user. For a good overview of all the information that is available by default, install Network Analyzer or use the Device ID test in our VPN Test App. Unfortunately, even privacy-preserving Android distributions such as GrapheneOS do not provide the ability to redact non-VPN network information and non-VPN IP addresses when a VPN is active. Additionally, on stock Android, apps can bypass the VPN interface by binding to the cell network interface, regardless of Always-on and Block Connections Android settings. Until those tickets are fixed:
When these properties are met, the app will not be linked to the device's Google account, which is a common source of deanonymization.
NOTE: Removing push notification permission is NOT ENOUGH to prevent apps from being able to register with Firebase (Google) to receive a push token that links the app to the Google account. See the Push Notification section of Known Weaknesses for more information. For now, if an app does not provide settings to disable notification registration, then you must use one of the following configurations instead. (For example: Session Messenger allows push registration to be disabled or switched to non-Google; Signal currently offers no such configuration).
It turns out that from the point of view of our ICTM security invariants, both of these are equivalent: they both result in Linkable Pseudonymity for both pseudonym-friendly apps and privacy-hostile apps because they significantly reduce the amount of linkable information, but they do not eliminate it. The primary reason is due to the remaining push notification linkability. See the Push Notification Linkability section of Known Weakness for more info. If the push notification linkability weakness is mitigated, then pseudonym-friendly apps will have Unlinkable Pseudonymity in this configuration when using push notifications. The first option accepts linkability through the Google account but mitigates deanonymization through careful management of this Google account. In this configuration, the user creates a new Google account over Tor and relies on the GrapheneOS Google Sandbox to provide pseudonymity for the device's Google account. In this sandbox, the system treats Google as a normal app, with revocable permissions and no access to hardware identifiers. Additionally, GrapheneOS requires the user to manually disable the Android Advertising ID. Doing so eliminates a large source of excess linkability. The Android Advertising ID is heavily used to link pseudonyms to location data. In the second option, the user configures a new privacy-enhanced Android device without a Google account but still uses push notifications with sandboxed Google Play Services on GrapheneOS. The user can use F-Droid or Aurora Store to install apps without a Google account. Without a Google account, there is less linkability risk between apps through other Google APIs other than push.
NOTE: The device must always use Tor to avoid linking its device push registration to a non-Tor IP address. This may be problematic in censorship scenarios where configuration information is delivered over push notifications. In this case, without a device Google account, it may be possible to clear registration data and re-register to remove linkability. But the effectiveness of this will depend on the data retention duration of the services involved for expired push tokens. See the Push Notification Linkability section of Known Weaknesses.
- These properties define this configuration:
- Configure with the IP Address Privacy Configuration to prevent Google Services and hostile apps from using the cell IP address for linkability.
- Optional Google Account Config:
- Create a new pseudonymous Google account over Tor for the device, using an SMS or VoIP phone number.
- The Android Advertising ID of this account has been disabled.
- Do not use the device phone number or Google account for app registration. Use a different online SMS or VoIP provider over Tor.
- If Tor VPN is in per-app mode, all Google Play Services and Google apps must be selected to use Tor in this configuration.
- Disable Private DNS and Connectivity Checks.
The active security invariant for a given scenario can be summarized in two matrices: one for Tor VPN per-app mode and one for Tor VPN all-app mode. These two matrices exactly represent the ICTM security invariant clauses from Section 2.3.
In this section, we list the known weaknesses of both stock Android and privacy-enhancing Android, where fixing a weakness would significantly improve the available security invariants.
For each weakness, we list the Consequences for the user and the mitigating configurations the user must perform, when possible.
We also provide fix Recommendations for developers of GrapheneOS, Android, and pseudonym-friendly apps.
The following Android privacy issues apply to all Android versions, including GrapheneOS and CalyxOS.
In all versions of Android, when apps have the ACCESS_NETWORK_STATE permission (which nearly all Android apps have), they can examine properties of all network interfaces, including the IP address. For a good overview of all the information that is available by default, install Network Analyzer or use our VPN Leak Test App.
Consequences: This weakness prevents Tor VPN from providing Network Privacy (or further invariants) to Privacy-hostile apps. This weakness also exposes the user to IP address leaks even for Pseudonym-friendly apps that disclose all device IP addresses during WebRTC calls. In both cases, the user must use their phone with a mobile WiFi hotspot, rather than a SIM card, to mitigate this weakness.
Recommendation: When a VPN is enabled, the Android OS should simulate non-VPN interfaces as disconnected, or it should spoof unused RFC1918 addresses for non-VPN interfaces. If addresses are spoofed, the system should not provide the same values to all apps, to prevent the use of spoofed values as identifiers (which likely already happens with IP address values today). These mitigations are essential because they enable VPNs to provide Network Privacy. Most VPN users naturally want their IP addresses to be unavailable to apps for tracking purposes.
All versions of Android (and also all versions of iOS) are currently subject to linkability through push notifications, even when the user has denied push notification permission to all apps.
When registering for Google's Firebase push notifications, apps obtain an FCM "token" from Firebase, which they submit to their servers. Their servers use this token to deliver messages to Google, who then uses the token ID to look up the device and send it the message.
Our VPN Leak Test App verifies that this registration ability is possible without any push notification permission, in the Device ID test.
This means that a series of record requests (sent first to the app developers and then to Google) will discover the Google account in use with a particular app. From there, even if there is no device Google account, the other push tokens associated with the device can be used to make further record requests to other app service providers for account data associated with their respective token IDs.
Because Google (and many apps) operate internationally, these requests can come from arbitrary jurisdictions. The Anti-Foreign Sanctions Law in China is one such example of a law that can be used for this purpose, although no direct reports of China using push notifications have been made public. It seems likely that Wyden's concerns did not come from nowhere, though.
This linkability is possible even for apps like Signal that do not send any actual content in the push notification and use it only as a wake-up notification. Because Signal still stores the token ID with the user's account on their servers, this linkability also exists for them.
This makes it impossible to have distinct pseudonyms for Signal, or any other app that registers with FCM, unless the user configures their device without Google Play Services or creates a separate user profile without Google Services for these apps.
Consequences: This weakness makes the Pseudonymous App Configuration impossible for many apps, because FCM push registration cannot actually be disabled by the user by denying push notification permission to an app. It also makes Pseudonymous Google Configuration have far more app linkability to the Google account (or device) than would otherwise be the case, linking many privacy-hostile apps to Google and to other pseudonym-friendly apps. The user has no real mitigation options, because disabling push notifications still allows this registration and resulting linkability.
Recommendations:
There are a few different approaches that can reduce the user's exposure to this linkability:
In our testing, we discovered that apps can bypass the VPN by using mDNS requests and SSDP activity. We have a reproduction case in our VPN Leak Test App. This test leaks on all versions of Android, including GrapheneOS. GrapheneOS has attempted to fix some multicast leaks, but our test app shows that these fixes are insufficient.
Additionally, these multicast leaks enable privacy-hostile apps to communicate on a local network, further linking user pseudonyms to other app activity on that same network.
This behavior is also observed in the wild, with Spotify engaging in communication over the local network through this bypass mechanism.
Consequences: This weakness allows Privacy-hostile apps to communicate on the local network to link their usage to other users on the network.
Recommendation: The Android OS should route this multicast behavior through the VPN interface. This will enable the VPN app to decide whether to allow these local network connections.
The Android ID is essentially a 64-bit identifier that is shared by all apps in a user profile with the same signing key.
This identifier persists across re-installations of the same app, which can be verified using our VPN Leak Test App using the Device Identifier test. Users who expect to be able to delete an app and then reinstall it to sign in under a different pseudonym will have their pseudonyms linked by Privacy-hostile apps that make use of this identifier.
Consequences: This weakness prevents users from being able to reinstall apps to change pseudonyms without linking those pseudonyms together. Basically, due to this weakness, once an app is linked to the user's real identity on a profile, that app will always be an Unmasked App, even after reinstallation. Users must install that app in a separate profile to avoid this linkability.
Recommendation: This ID should be randomized with every app installation, rather than persisting after uninstallation. This will allow users to delete an app to change pseudonyms.
For some reason, no Android permissions are necessary to determine the cell network ID and the provider name of the user's SIM card. This information can be used to determine the user's rough geographic location, depending on the range of the cell provider (typically at least country-level, but sometimes regional, state, or province-level). The Device ID test of our VPN Leak Test app displays this information. It is also visible in Network Analyzer.
Consequences: This weakness does not directly impact any of our privacy invariants, but it is generally bad for privacy.
Recommendation: These APIs should always return NULL/empty (the default when no eSIMs are configured), because this information is not necessary for app operation.
We observed that when WiFi calling is enabled for an activated eSIM, the device makes IPsec connections to the eSIM provider, bypassing the VPN.
Consequences: This weakness does not directly impact any of our privacy invariants, but it is generally bad for privacy in that it exposes the user's WiFi IP address to their cell network.
Recommendation: Allow VPN interfaces control of routing this connection, so that it may be disabled if the user chooses to block it.
Stock Android has a number of edge cases that can leak DNS or multicast, which can remove the Network Privacy invariant by revealing to the local network that a particular app may be in use.
Stock Android allows apps to bind to the cell network interface and then connect to an IP address, bypassing any VPN in place, regardless of Always-On or Block Connections VPN settings. Our VPN Test App has a reproduction case for this as part of the Leak Test. This leak is only possible over the cell network interface.
GrapheneOS fixed this issue in the 2025072700 Release.
Consequences: This leak allows Privacy-hostile apps to remove Network Privacy on stock Android. Users must use the IP Address Privacy Configuration and/or use GrapheneOS to prevent this leak.
Recommendations: Google shouldn't allow rogue apps to bind to the cell interface to bypass the VPN in Lockdown Mode, because VPN users expect that apps can't bypass the VPN in this mode.
On stock Android, user profile isolation can leak packets upon first use after restart.
Consequences: This leak prevents stock Android users from successfully using Isolated User Profile Configuration to isolate sensitive app activity. Users have to install GrapheneOS to mitigate this.
Recommendation: These leaks should be fixed, because users expect Always on VPN and Block Connection settings to work in all user profiles.
On stock Android, the device Google account has access to all hardware identifiers, as well as SIM card identifiers and phone number. This access typically means that any form of linking to the device Google account (through push notifications, Gmail use, or Google OAuth sign-in) typically means deanonymization of a pseudonym.
Consequences: It is difficult for a user to maintain a pseudonym even in Pseudonym-friendly apps without careful configuration.
Recommendations: Both privacy-conscious apps and Google should have more transparency with respect to actions that link the app's account to the device Google account, because users tend to expect that pseudonymity is not actively subverted behind their backs. In the meantime, the GrapheneOS Google Sandbox enables Pseudonymous Google Configuration.
Multiple issues with DNS exist in stock Android. Apps that use getaddrinfo() from the C library can bypass the VPN. Our VPN Leak Test app reproduces this leak as part of the main Leak Test.
Additional, DNS leaks can happen if the VPN malfunctions or shuts down.
Consequences: DNS leaks can erode Network Privacy by allowing local ISPs to determine which apps are in use. Users must use GrapheneOS to avoid these leaks.
Recommendations: GrapheneOS has fixed these issues. Google Android should upstream these fixes, because users expect that their DNS activity will not bypass their VPN.
Android has a secure setting Settings.Secure.always_on_vpn_lockdown_whitelist, which allows custom Android builds to define a list of apps that always bypass the VPN, regardless of VPN settings. Google and GrapheneOS both have this setting empty, but third-party Android builds may place their apps in this setting. The ReThink Firewall App has a ticket describing this issue.
Google Android also allows connectivity checks to bypass the VPN. GrapheneOS provides a setting to disable this.
Consequences: On Android rebuilds, various vendor apps may be exempted from the VPN, allowing them to connect outside of it. Users must use GrapheneOS to avoid these leaks.
Recommendations: Users should disable or remove vendor apps that they don't need.
The following weaknesses are unique to GrapheneOS. Note that the universal Android weaknesses also apply to GrapheneOS.
Additionally, the default-on behavior of the Android Advertising ID is another source of linkability between apps. GrapheneOS requires users to manually disable this ID, but this is not prominently documented during setup.
A better default would be to have the Android Advertising ID disabled by default or to provide a prominent setup step that educates users about this privacy risk.
We list this as a GrapheneOS-specific weakness because other privacy-preserving versions of Android randomize this ID automatically.
Consequences: Users who are not aware that they need to configure their Google account to disable this identifier will have all of their Privacy-hostile app activity linked to their Google account and to each other. Users must manually disable the Advertising ID in their Google account settings.
Öneri: GrapheneOS tarafından konum API uygulamalarının vekil sunuculardan geçirilmesine benzer şekilde, bu API rastgele veya sıfırlanmış bir sayı döndürmek için vekil sunucudan geçirilmelidir. Çünkü bu API, uygulamalar arasında konum ve kullanım verilerinin toplanmasını sağlar.
Tor Project ile iletişim kurmanın farklı yolları vardır. Sorununuzu hızlıca çözmemize yardımcı olmak için hangi bilgileri eklemeniz gerektiğini öğrenebilirsiniz.
Tor, yazılımlarımızı ve kaynaklarımızı geliştirmemize yardımcı olmaları için dünya çapındaki kullanıcıların ve gönüllülerin desteğine güveniyor. Bu nedenle geri bildirimleriniz bizim için (ve tüm Tor kullanıcıları için) çok değerlidir.
Bize hataları ya da düşüncelerinizi iletirken olabildiğince şu bilgileri eklemeye çalışın:
Bize ulaşabileceğiniz bir kaç yol var. Sizin için en uygun olanını seçebilirsiniz.
Tor forumu üzerinden yardım istemenizi öneririz. Yeni bir konu açmak için bir hesap açmanız gerekir. Sormadan önce lütfen tartışma yönergelerimizi inceleyin. Şu anda, en hızlı şekilde yanıt almak için lütfen İngilizce yazın. Bir hata bulduysanız, lütfen GitLab üzerinden bildirin.
Önce hatanın zaten bilinip bilinmediğine bakın. Tüm sorunları https://gitlab.torproject.org/ üzerinde görebilirsiniz. Yeni bir sorun açmak için, lütfen Tor Project GitLab ortamına erişmek üzere yeni bir hesap isteğinde bulunun ve sorununuzu bildirmek için doğru depoyu bulun. Ya da hesap oluşturmanıza gerek kalmadan Anon Ticket ile hataları bildirebilir veya bize anonim olarak geri bildirim gönderebilirsiniz. Tor Browser ile ilgili sorunlar Tor Browser sorun izleyici üzerinde bulunur. Sitelerimiz ile ilgili sorunlar sorun izleyici üzerinde bulunur.
Tor Browser kurmak ya da sorunları gidermek konusunda yardıma gerek duyuyorsanız ve bulunduğunuz yerde Tor forumu engelleniyorsa, bize Telegram üzerinden ulaşabilirsiniz https://t.me/TorProjectSupportBot. Bir Tor destek uzmanı size yardımcı olacak.
WhatsApp numaramıza bir ileti göndererek yardım alabilirsiniz: +447421000612. Bu hizmet yalnızca metin iletileri için kullanılabilir. Görüntülü iletiler ya da aramalar desteklenmez.
+17787431312 Signal numaramıza ya da @torsupport.89 Signal kullanıcı adımıza bir ileti göndererek ekibimizle görüşebilirsiniz. Signal özgür ve kişisel gizlilik odaklı bir iletişim uygulamasıdır. Bu hizmet yalnızca metin iletileri için kullanılabilir. Görüntülü iletiler ya da aramalar desteklenmez. Bir ileti göndermenizden sonra, destek ekibimiz size rehberlik ederek sorununuzu gidermenize yardımcı olur.
frontdesk@torproject.org adresinden bize e-posta gönderebilirsiniz.
Lütfen e-postanızın konusuna bize neyi bildirdiğinizi yazın. Konu satırındaki bilgi olabildiğince ayrıntılı olduğunda ("bağlantı sorunu", "site için öneri", "Tor Browser ile ilgili geri bildirim", "Köprü kullanmam gerekiyor" gibi), sorunu anlayıp izlememiz daha kolay oluyor. Konu satırı yazılmadan gönderilen e-postalar bazen istenmeyen ileti olarak işaretlendiğinden göremiyoruz.
Daha hızlı yanıt almak için İngilizce ya da biliyorsanız İspanyolca/Portekizce yazın. Bu dilleri bilmiyorsanız istediğiniz dilde yazabilirsiniz. Ancak konuyu anlayabilmemiz için çeviri desteği almamız gerekeceğinden biraz daha geç yanıt verebileceğimizi unutmayın.
İletmek istediğiniz hatalar ya da düşünceleriniz için istediğiniz zaman ilgili günlük yazılarının altına yorum yapabilirsiniz. Konu ile ilgili bir günlük yazısı yoksa lütfen bizimle farklı bir yoldan iletişim kurun.
Geri bildirimde bulunmak, hata veya sorunları bildirmek için bizi OFTC üzerindeki #tor kanalında veya #tor:matrix.org adresinde bulabilirsiniz. Hemen yanıt veremeyebiliriz. Ancak yazılanları geriye doğru okuyoruz ve uygun olduğumuzda yanıt veriyoruz.
OFTC sunucularına nasıl bağlanacağınızı öğrenin.
Sorunları ve düşüncelerinizi e-posta listelerini kullanarak iletmek isterseniz, konu ile ilgili e-posta listesini kullanmanızı öneririz. Tüm e-posta listelerimizi buraya tıklayarak görebilirsiniz.
Bir Tor aktarıcısı işletmek ile ilgili konular için: tor-relays
Bir güvenlik sorunu bulduysanız, lütfen security@torproject.org adresine e-posta ile bildirin.
E-postanızı şifrelemek istiyorsanız, bu e-posta adresinin herkese açık OpenPGP anahtarını keys.openpgp.org adresinden alabilirsiniz. Şu andaki parmak izi:
835B 4E04 F6F7 4211 04C4 751A 3EF9 EF99 6604 DE41
Katılmak isterseniz hata bulma ödülü programımız var. Lütfen unutmayın. Bir güvenlik sorunu bir üçüncü taraf sitesine bildirmenin kontrol edemediğimiz bazı riskleri vardır. Bu nedenle doğrudan bildirmeyi yeğliyoruz.
Destek, hata raporları ve geri bildirim için Tor Project ile nasıl iletişim kurabileceğinizi öğrenin.
Bize bir destek isteği, hata ya da fikir iletirken olabildiğince şu bilgileri eklemeye çalışın:
Pazartesi - Perşembe: E-posta, Telegram, WhatsApp ve Signal üzerindeki kullanıcı desteği kanallarımız açıktır.
Cuma - Pazar: Destek kanalı kapalıdır. Ekibimizin Pazartesi günü iletilerinizi yanıtlayacağından emin olabilirsiniz.
Bize ulaşabileceğiniz bir kaç yol var. Sizin için en uygun olanını seçebilirsiniz.
Birkaç resmi Telegram botumuz ve kanalımız var:
Tor forumunda yardım istemenizi öneririz. Yeni bir konu oluşturmak için bir hesap açmanız gerekir. Lütfen tartışma kurallarımızı inceleyin ve soru sormadan önce var olan konular arasında olup olmadığına bakın. Şu anda, en hızlı şekilde yanıt almak için lütfen İngilizce yazın. Bir hata bulduysanız, lütfen GitLab üzerinden bildirin.
WhatsApp numaramıza bir ileti göndererek yardım alabilirsiniz: +447421000612. Bu hizmet yalnızca metin iletileri için kullanılabilir. Görüntülü iletiler ya da aramalar desteklenmez.
+17787431312 Signal numaramıza ya da @torsupport.89 Signal kullanıcı adımıza bir ileti göndererek ekibimizle görüşebilirsiniz. Signal özgür ve kişisel gizlilik odaklı bir iletişim uygulamasıdır. Şu anda destek kanalımız İngilizce, Rusça ve Farsça dillerinde hizmet veriyor ve sansür uygulanan bölgelerdeki Tor kullanıcılarına yardım etmeye odaklanıyor. Bu hizmet yalnızca yazılı iletiler için kullanılabilir. Video veya arama desteklenmez. Bir ileti göndermenizden sonra, destek ekibimiz size rehberlik ederek sorununuzu gidermenize yardımcı olur.
frontdesk@torproject.org adresinden bize e-posta gönderin
Lütfen e-postanızın konusuna bize neyi bildirdiğinizi yazın. Konu satırındaki bilgi olabildiğince ayrıntılı olduğunda ("bağlantı sorunu", "site için öneri", "Tor Browser ile ilgili geri bildirim", "Köprü kullanmam gerekiyor" gibi), sorunu anlayıp izlememiz daha kolay oluyor. Konu satırı yazılmadan gönderilen e-postalar bazen istenmeyen ileti olarak işaretlendiğinden göremiyoruz.
En hızlı yanıtı almak için yapabiliyorsanız İngilizce, Rusça, Farsça, İspanyolca, Hintçe, Bengalce ve/veya Portekizce yazın. Bu dilleri bilmiyorsanız istediğiniz dilde yazabilirsiniz. Ancak konuyu anlayabilmemiz için çeviri desteği almamız gerekeceğinden biraz daha geç yanıt verebileceğimizi unutmayın.
Bizi OFTC üzerindeki #tor kanalında veya Matrix üzerindeki Tor kullanıcı desteği kanalında bulabilirsiniz. Hemen yanıt veremeyebiliriz, ancak birikmiş iletilere bakıyoruz ve yapabildiğimizde size yanıt yazıyoruz.
OFTC sunucularına nasıl bağlanacağınızı öğrenin.
Önce hatanın zaten bilinip bilinmediğine bakın. Tüm sorunları https://gitlab.torproject.org/ üzerinde görebilirsiniz. Yeni bir sorun kaydı açmak için, lütfen Tor Project GitLab ortamına erişmek üzere yeni bir hesap isteğinde bulunun ve sorununuzu bildirmek için doğru depoyu bulun. Tor Browser ile ilgili sorunlar Tor Browser sorun izleyici üzerinde bulunur. Sitelerimiz ile ilgili sorunlar sorun izleyici üzerinde bulunur.