Werf blokkeer jou net wanneer die VPN aan is? Dit is wat dit sien
Die blokkade is gewoonlik die uitgangsadres, nie 'n lek nie. Kyk na die netwerk waaruit jou verkeer kom, die resolver wat 'n werf kan log, en wat bladsykode weet.
Die winkel laai tuis fyn en wys 'n muur van “onreëlmatige verkeer” sodra die tonnel op is. 'n Forum weier om jou aan te meld, en 'n stromingsbladsy hou vol jy is in 'n land wat jy nog nooit besoek het nie. Niks daarvan vereis spyware nie. 'n Werf sien die adres waarvan jou pakkette aankom, en met 'n VPN behoort daardie adres aan 'n datasentrum eerder as aan 'n tuislyn. Die meeste van wat “VPN-opsporing” genoem word, begin en eindig by daardie een feit, en die res is afleiding met 'n voorspelbare foutkoers.
Die blokkade begin by waar jou pakkette blyk te kom
Elke versoek dra 'n bronadres, en die ontvangende bediener kan dit in openbare data naslaan: watter netwerk dit aankondig, of daardie netwerk 'n webhuisdiensteverskaffer is, of dit in misbruiklyste verskyn het, en watter land die registrateur toeken. Niks daarvan identifiseer jou nie, en alles daarvan is genoeg om jou in 'n kategorie te sorteer.
Kyk na jou eie verkeer soos 'n vreemdeling sou. Twee opdragte dek die meeste van die oppervlak, en dit is die tweede een wat mense vergeet:
curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.comDie eerste gee die uitgangsadres, sy organisasie en sy land terug. Die tweede gee die adres van die resolver wat Google se naambediener bereik het, wat dikwels 'n ander netwerk as jou uitgang is, en dit is die adres wat 'n werf sien as dit data aan die resolverkant log. Wanneer daardie twee aan verskillende lande behoort, beskou sommige werwe die verskil as verdag, selfs al is niks verkeerd met jou opstelling nie.
Wanneer die weiering eers begin nadat die tonnel opkom, vermoed die uitgangsadres voor enigiets anders. Skakel oor na ander bedieners en probeer weer voordat jy aan die blaaier raak. 'n Blokkade wat jou oor drie uitgange van dieselfde verskaffer volg, gaan oor die verskaffer se adresreekse; 'n blokkade wat op 'n ander bediener verdwyn, gaan oor daardie enkele adres.
Tydsone, taal en horlosie stem nie ooreen met die adres nie
Bladsykode kan jou tydsone, jou taalvoorkeure en jou skerminstellings lees sonder enige toestemmingsvraag. 'n Blaaier wat Sentraal-Europese tyd rapporteer terwyl die verbinding van 'n Singapoer-datasentrum kom, is 'n sterker sein as die adres alleen, en dit is die soort verskil wat bedrogtelling gebou is om raak te sien.
Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().localeDaardie drie reëls in die ontwikkelaarskonsole vertel jou wat jou blaaier vrywillig gee. 'n VPN-kliënt kan jou roete verander en niks anders nie, so die profiel wat jy dra bly binnelands terwyl jou uitgang dit nie is nie. Konsekwentheid is wat hier saak maak: 'n skootrekenaar wat op dieselfde streek as die uitgang gestel is, lyk gewoon, en een wat met homself verskil, nie.
Dit is ook hoekom die mislukking wisselvallig is. Baie werwe gee nie om nie, 'n paar gee dit 'n telling, en een lidmaatskapwerf besluit jy is 'n bedrieër. Die kliënt werk in al drie gevalle korrek, en dit is hoekom die gewone ondersteuningsantwoord, “dit moet jou blaaier wees”, beide irriterend en deels waar is.
Wat bladsykode werklik van jou masjien weet
JavaScript het geen API wat netwerkkoppelvlakke opsom nie. 'n Bladsy kan nie vra watter adresse jou skootrekenaar het nie, so die ou bewering dat 'n script jou LAN-adres lees, is meestal 'n herinnering aan die inprop-era, toe ActiveX-beheerders, Java-applets en ander inheemse kode presies dit kon doen.
| Signal | What it reveals | Status today |
|---|---|---|
| Source address of the request | Exit network, country, hosting status | Always visible; the main signal |
| Time zone and language | Where the profile claims to be | Readable without permission |
| WebRTC candidates | Local addresses, historically | Host candidates are mDNS-obfuscated by default |
| Interface list | All local addresses | Not available to ordinary JavaScript |
WebRTC is die eerlike uitsondering op “geen plaaslike adreslekke nie”. Sy kandidaatversameling het eens plaaslike adresse aan enige bladsy blootgestel wat gevra het, en die regstelling was om gasheerkandidate deur ewekansige mDNS-name te vervang. Daardie verstek geld in huidige blaaiers, maar dit is 'n blaaierbesluit eerder as 'n protokolwaarborg, so 'n verouderde bou of 'n geharde konfigurasie wat plaaslike kandidate weer aanskakel, kan steeds lek. Om die blaaier op te dateer doen hier meer vir jou as enige uitbreiding.
Jou verskaffer sien die name, nie die inhoud nie
HTTPS beskerm die inhoud van 'n bladsy van punt tot punt, en die tonneloperateur wat daardie grepe aanstuur, kan dit nie lees nie. Die operateur kan steeds sien watter adres jy gekontak het, en in die meeste ontplooiings die bedienernaam in die handdruk, want die naam moet leesbaar wees sodat die verbinding na die regte werf gerouteer kan word. Geënkripteerde kliëntgroet bestaan juis om daardie veld te verberg, en dit help net wanneer beide die kliënt en die werf dit ondersteun.
Naamresolusie is die ander helfte. As jou verskaffer ook die resolver verskaf, sien dit elke naam wat jy naslaan voordat enige verbinding bestaan. As jou toestel 'n openbare resolver oor HTTPS gebruik, sien die verskaffer 'n verbinding na daardie resolver en niks anders nie, terwyl die resolver self die lys sien.
'n Ongeënkripteerde HTTP-versoek is leesbaar vir die operateur om dieselfde rede dat dit leesbaar is vir die hotelnetwerk: niks daarin is geënkripteer nie. 'n Tonnel het nooit anders beweer nie, en dit herstel nie die toepassing se keuse nie.
Skei “dit is 'n VPN” van “dit is ek”
Opsporing is goedkoop, waarskynlikheidsgebaseer en dikwels verkeerd. Gedeelde uitgangsadresse word gemerk omdat iemand anders hulle misbruik het, korporatiewe reekse word as webhuisdienste geklassifiseer, en mobiele operateurs lewer geo-resultate wat almal verras. Identifikasie is 'n ander probleem: dit het 'n blywende skakel nodig soos 'n rekening waarby jy aangemeld is, 'n koekie, 'n betaalbesonderheid, of twee waarnemers wat notas vergelyk.
Besluit teen watter een jy eintlik veg. As die doel is om 'n bladsy te lees, doen HTTPS daardie werk al en verander die tonnel min. As die doel is om die werf te keer om te weet in watter stad jy is, is die uitgang en die resolver wat saak maak. As die doel is om die skakel na jou werklike identiteit te breek, is die rekening die swak punt, en om bedieners te verander doen niks aan die aanmelding wat jy pas gebruik het nie.
'n Vars uitgang meld jou nie by enigiets af nie, en dit kan nie uitwis wat 'n werf reeds oor die rekening gestoor het nie. Die praktiese volgorde is dus onglamoreus: kies 'n uitgang wie se netwerk gewoon lyk, hou die blaaierprofiel daarmee konsekwent, dateer die blaaier op sodat die lekgevoelige funksies hul moderne verstekke gebruik, en aanvaar dat 'n klein aantal werwe steeds verkeerd oor jou sal raai.