Сайт блакуе вас толькі з уключаным VPN? Вось што ён бачыць

Крама добра адкрываецца дома і паказвае сцяну «незвычайнага трафіку», як толькі тунэль паднімаецца. Форум адмаўляецца ўпусціць вас, а старонка струменевага відэа ўпарта сцвярджае, што вы ў краіне, дзе ніколі не былі. Нічога з гэтага не патрабуе шпіёнскага праграмнага забеспячэння. Сайт бачыць адрас, з якога прыходзяць вашы пакеты, а з VPN гэты адрас належыць цэнтру апрацоўкі даных, а не хатняй лініі. Большасць таго, што называюць выяўленнем VPN, пачынаецца і заканчваецца гэтым адным фактам, а астатняе — здагадкі з прадказальнай доляй памылак.

Блакаванне пачынаецца з таго, адкуль выглядаюць вашы пакеты

Кожны запыт нясе адрас крыніцы, і сервер, які яго атрымлівае, можа праверыць яго ў публічных даных: якая сетка яго абвяшчае, ці з'яўляецца гэтая сетка хостынг-правайдэрам, ці трапляла яна ў спісы злоўжыванняў і якую краіну прызначае рэестр. Нішто з гэтага не ідэнтыфікуе вас, але ўсё разам дастаткова, каб аднесці вас да пэўнай катэгорыі.

Паглядзіце на свой трафік вачыма чужога. Дзве каманды ахопліваюць большую частку паверхні, і другая з іх — тая, якую забываюць:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Першая вяртае адрас выхаду, яго арганізацыю і краіну. Другая вяртае адрас рэзалвера, які дасягнуў сервера імёнаў Google; ён часта належыць іншай сетцы, чым ваш выхад, і менавіта гэты адрас бачыць сайт, калі захоўвае даныя на баку рэзалвера. Калі гэтыя два адрасы належаць розным краінам, некаторыя сайты лічаць такую разбежнасць падазронай, нават калі з вашай наладай усё ў парадку.

Калі адмова пачынаецца толькі пасля ўздыму тунэлю, падазравайце адрас выхаду перш за ўсё. Змяніце серверы і паўтарыце спробу, перш чым чапаць браўзер. Блакаванне, якое ідзе за вамі праз тры выхады аднаго правайдэра, тычыцца дыяпазонаў правайдэра; блакаванне, якое знікае на іншым серверы, тычыцца таго аднаго адраса.

Часавы пояс, мова і гадзіннік не ўзгадняюцца з адрасам

Код старонкі можа чытаць ваш часавы пояс, моўныя перавагі і налады экрана без любога запыту дазволу. Браўзер, які паведамляе пра цэнтральнаеўрапейскі час, тады як злучэнне прыходзіць з цэнтра даных у Сінгапуры, — гэта больш моцны сігнал, чым адзін адрас, і менавіта такую разбежнасць ацэнка махлярства пабудавана заўважаць.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Тыя тры радкі ў кансолі распрацоўшчыка паказваюць, што ваш браўзер выдае добраахвотна. Кліент VPN можа змяніць ваш маршрут і нічога больш, таму профіль, які вы носіце, застаецца хатнім, а выхад — не. Тут важная паслядоўнасць: ноўтбук, наладжаны на той жа рэгіён, што і выхад, выглядае звычайна, а ноўтбук, які супярэчыць сам сабе, — не.

Вось чаму збой узнікае перарывіста. Многія сайты не зважаюць на гэта, некаторыя ставяць ацэнку, а адзін членскі сайт вырашае, што вы махляр. Кліент ва ўсіх трох выпадках працуе правільна, і таму звычайны адказ падтрымкі, «гэта напэўна ваш браўзер», адначасова раздражняе і часткова праўдзівы.

Што код старонкі насамрэч ведае пра вашу машыну

У JavaScript няма API, які пералічвае сеткавыя інтэрфейсы. Старонка не можа запытаць, якія адрасы мае ваш ноўтбук, таму старое сцвярджэнне, што скрыпт чытае ваш LAN-адрас, — гэта пераважна ўспамін пра эпоху плагінаў, калі элементы ActiveX, аплеты Java і іншы натыўны код маглі рабіць менавіта гэта.

WebRTC — гэта сумленнае выключэнне з правіла «ніякіх уцечак лакальных адрасоў». Збор яго кандыдатаў некалі паказваў лакальныя адрасы любой старонцы, якая запытвала, і выпраўленнем стала замена кандыдатаў хаста выпадковымі імёнамі mDNS. Гэтае значэнне па змаўчанні дзейнічае ў сучасных браўзерах, але гэта рашэнне браўзера, а не гарантыя пратаколу, таму састарэлая зборка або ўзмоцненая канфігурацыя, якая зноў уключае лакальныя кандыдаты, усё яшчэ можа даць уцечку. Абнаўленне браўзера дапамагае тут больш, чым любое пашырэнне.

Ваш правайдэр бачыць імёны, а не змесціва

HTTPS абараняе змесціва старонкі ад канца да канца, і аператар тунэлю, які перасылае гэтыя байты, не можа іх прачытаць. Аператар усё яшчэ можа бачыць, да якога адраса вы звярталіся, а ў большасці разгортванняў — і імя сервера ў рукапаці, бо імя павінна быць чытэльным, каб злучэнне можна было накіраваць на патрэбны сайт. Encrypted Client Hello існуе менавіта для таго, каб схаваць гэтае поле, і дапамагае толькі тады, калі яго падтрымліваюць і кліент, і сайт.

Разрозненне імёнаў — гэта другая палова. Калі ваш правайдэр таксама пастаўляе рэзалвер, ён бачыць кожнае імя, якое вы шукаеце, перш чым узнікае любое злучэнне. Калі ваша прылада выкарыстоўвае публічны рэзалвер праз HTTPS, правайдэр бачыць злучэнне з гэтым рэзалверам і нічога больш, а сам рэзалвер бачыць спіс.

Незашыфраваны HTTP-запыт чытэльны для аператара па той жа прычыне, па якой ён чытэльны для сеткі гатэля: нішто ўнутры яго не зашыфравана. Тунэль ніколі не заяўляў іншага, і ён не выпраўляе выбар праграмы.

Аддзяляйце «гэта VPN» ад «гэта я»

Выяўленне таннае, імавернаснае і часта памылковае. Агульныя адрасы выхаду пазначаюцца, бо хтосьці іншы злоўжываў імі; карпаратыўныя дыяпазоны класіфікуюць як хостынг, а мабільныя аператары выдаюць геавынікі, якія здзіўляюць усіх. Ідэнтыфікацыя — іншая задача: для яе патрэбна ўстойлівая сувязь, напрыклад уліковы запіс, у які вы ўвайшлі, кукі, плацежныя даныя або два назіральнікі, якія параўноўваюць нататкі.

Вырашыце, з чым вы насамрэч змагаецеся. Калі мэта — прачытаць старонку, HTTPS ужо робіць гэтую працу, і тунэль мала што змяняе. Калі мэта — не даць сайту даведацца, у якім вы горадзе, важныя выхад і рэзалвер. Калі мэта — разарваць сувязь з вашай сапраўднай асобай, слабое месца — уліковы запіс, і змена сервераў нічога не робіць з уваходам, які вы толькі што выкарысталі.

Новы выхад нікуды вас не выходзіць, і ён не можа выдаліць тое, што сайт ужо захаваў пра выкарыстаны вамі ўліковы запіс. Таму практычная паслядоўнасць непрыгожая: выберыце выхад, чыя сетка выглядае звычайна, трымайце профіль браўзера ўзгодненым з ім, абнавіце браўзер, каб схільныя да ўцечак функцыі ўжывалі сучасныя значэнні па змаўчанні, і прыміце, што невялікая колькасць сайтаў усё яшчэ памыліцца на ваш конт.