Stránka vás blokuje jen se zapnutou VPN? Tohle vidí

Obchod se doma načítá bez problémů a ve chvíli, kdy se tunel zvedne, ukáže zeď «neobvyklého provozu». Fórum vás odmítne přihlásit a stránka se streamováním trvá na tom, že jste v zemi, kterou jste nikdy nenavštívili. Nic z toho nevyžaduje spyware. Stránka vidí adresu, ze které vaše pakety přicházejí, a s VPN tato adresa patří datovému centru, ne domácí lince. Většina toho, čemu se říká detekce VPN, začíná a končí tímto jediným faktem a zbytek je odvozování s předvídatelnou chybovostí.

Blokace začíná tím, odkud vaše pakety vypadají, že přicházejí

Každý požadavek nese zdrojovou adresu a přijímající server ji může ověřit ve veřejných datech: která síť ji ohlašuje, zda je tato síť poskytovatelem hostingu, zda se objevila na seznamech zneužití a kterou zemi jí přiřazuje registr. Nic z toho vás neidentifikuje a všechno dohromady stačí k tomu, aby vás zařadilo do škatulky.

Podívejte se na svůj provoz očima cizího člověka. Dva příkazy pokryjí většinu povrchu a druhý je ten, na který se zapomíná:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

První vrací výstupní adresu, její organizaci a zemi. Druhý vrací adresu resolveru, který dosáhl jmenného serveru Google; často jde o jinou síť, než je váš výstup, a je to adresa, kterou stránka vidí, pokud si zaznamenává data na straně resolveru. Když tyto dvě patří různým zemím, některé stránky považují nesoulad za podezřelý, i když s vaším nastavením není nic špatně.

Když odmítnutí začne až po zvednutí tunelu, podezřívejte nejdřív výstupní adresu. Přepněte servery a zkuste to znovu, než se dotknete prohlížeče. Blokace, která vás následuje přes tři výstupy stejného poskytovatele, se týká rozsahů poskytovatele; blokace, která na jiném serveru zmizí, se týká té jedné adresy.

Časové pásmo, jazyk a hodiny nesouhlasí s adresou

Kód stránky může číst vaše časové pásmo, jazykové preference a nastavení obrazovky bez jakéhokoli dotazu na povolení. Prohlížeč hlásící středoevropský čas, zatímco spojení přichází z datového centra v Singapuru, je silnější signál než samotná adresa a je to právě ten druh nesouladu, na který je hodnocení podvodů stavěné.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Ty tři řádky v konzoli pro vývojáře říkají, co váš prohlížeč dobrovolně poskytuje. Klient VPN může změnit vaši trasu a nic jiného, takže profil, který nesete, zůstává tuzemský, zatímco váš výstup ne. Tady jde o konzistenci: notebook nastavený na stejný region jako výstup vypadá obyčejně, a notebook, který si odporuje, ne.

Proto je selhání občasné. Mnoha stránkám to je jedno, několik to ohodnotí a jedna členská stránka rozhodne, že jste podvodník. Klient ve všech třech případech funguje správně, a proto je obvyklá odpověď podpory, «určitě to je váš prohlížeč», zároveň otravná a částečně pravdivá.

Co kód stránky skutečně ví o vašem počítači

JavaScript nemá žádné API, které by vyjmenovalo síťová rozhraní. Stránka se nemůže zeptat, jaké adresy váš notebook má, takže staré tvrzení, že skript čte vaši LAN adresu, je většinou vzpomínka na éru pluginů, kdy to ovládací prvky ActiveX, applety Java a jiný nativní kód dokázaly přesně.

WebRTC je poctivá výjimka z pravidla «žádné úniky lokálních adres». Sběr jeho kandidátů kdysi vystavoval lokální adresy každé stránce, která si o ně řekla, a opravou bylo nahradit hostitelské kandidáty náhodnými jmény mDNS. Toto výchozí nastavení platí v současných prohlížečích, ale je to rozhodnutí prohlížeče, ne záruka protokolu, takže zastaralá sestava nebo utvrzená konfigurace, která lokální kandidáty znovu zapne, může stále unikat. Aktualizace prohlížeče vám zde pomůže víc než jakékoli rozšíření.

Váš poskytovatel vidí názvy, ne obsah

HTTPS chrání obsah stránky od konce ke konci a operátor tunelu, který ty bajty přeposílá, je nemůže číst. Operátor stále vidí, na kterou adresu jste se obrátili, a ve většině nasazení i jméno serveru v handshake, protože jméno musí být čitelné, aby spojení bylo směrováno na správnou stránku. Encrypted Client Hello existuje právě proto, aby toto pole skrylo, a pomůže jen tehdy, když ho podporuje klient i stránka.

Překlad jmen je druhá polovina. Pokud váš poskytovatel dodává i resolver, vidí každé jméno, které hledáte, dřív než vznikne jakékoli spojení. Pokud vaše zařízení používá veřejný resolver přes HTTPS, poskytovatel vidí spojení k tomuto resolveru a nic jiného, zatímco resolver sám vidí seznam.

Nešifrovaný požadavek HTTP je pro operátora čitelný ze stejného důvodu, z jakého je čitelný pro hotelovou síť: nic uvnitř není šifrované. Tunel nikdy netvrdil opak a neopravuje volbu aplikace.

Oddělte «tohle je VPN» od «tohle jsem já»

Detekce je levná, pravděpodobnostní a často chybná. Sdílené výstupní adresy se označují, protože je někdo jiný zneužil, firemní rozsahy se klasifikují jako hosting a mobilní operátoři produkují geografické výsledky, které všechny překvapí. Identifikace je jiný problém: potřebuje trvalé spojení, jako účet, do kterého jste se přihlásili, cookie, platební údaj nebo dva pozorovatele porovnávající poznámky.

Rozhodněte, proti čemu vlastně bojujete. Pokud je cílem přečíst stránku, HTTPS už tu práci dělá a tunel mění málo. Pokud je cílem zabránit stránce vědět, ve kterém městě jste, záleží na výstupu a resolveru. Pokud je cílem přerušit vazbu na vaši skutečnou identitu, slabým místem je účet a změna serverů nic neudělá s přihlášením, které jste právě použili.

Nový výstup vás nikde neodhlásí a nemůže smazat, co o použitém účtu stránka už uložila. Praktický postup je proto neokázalý: vyberte výstup, jehož síť vypadá obyčejně, držte profil prohlížeče v souladu s ním, aktualizujte prohlížeč, aby funkce náchylné k únikům používaly svá moderní výchozí nastavení, a přijměte, že malý počet stránek o vás bude stále hádat špatně.