Gør en anonym VPN-konto din trafik anonym?
Tilmelding uden e-mail ændrer ét felt på en formular. Kildeadressen, kontoens token og browserens cookies besvarer tre forskellige spørgsmål.
Tilmelding uden e-mailadresse ændrer ét felt på en formular. Den ændrer ikke kildeadressen på netværket, heller ikke den identifikator, tjenesten udsteder internt, og heller ikke de cookies, din browser sender til hvert websted, du besøger. Det er tre adskilte spørgsmål, og kun det første handler overhovedet om kontoen. Her er, hvad hvert lag faktisk holder, og hvilken beslutning der er din snarere end udbyderens.
Behandl anonymitet som en egenskab pr. observatør. Spørg hvilken observatør, og det ærlige svar ændrer sig.
En pseudonym konto er stadig en konto
En udbyder kan udstede et kontonummer, en enhedsnøgle eller et abonnementstoken uden nogensinde at spørge om et juridisk navn. Det objekt binder stadig sessioner sammen inde i tjenesten: samme token på samme abonnement, gennem måneder.
Hvad operatøren kan knytte til det token, afhænger af andre systemer. Betalingsoplysninger findes, hvis du betalte på en sporbar måde, en supportadresse findes, hvis du skrev ind, og enhedsidentifikatorer eller forbindelsestidspunkter kan findes i driftslogfiler. Intet af dette kræves af tilmeldingsformularen, og intet af det udelukkes af en formular uden e-mail. Formularen bestemmer, hvad der blev bedt om, ikke hvad der findes bagefter.
At indsende en diagnostisk profil eller åbne en supportbillet kan tilføje flere detaljer, end den oprindelige formular nogensinde bad om.
Hvad tunnelens endepunkt nødvendigvis ser
Endepunktet afslutter din forbindelse, så det kender den kildeadresse, dit adgangsnetværk tildelte til den session, og hvornår sessionen begyndte. Det ved også, hvilken intern nøgle eller konto forbindelsen svarer til, fordi den kobling bestemmer, hvor trafikken skal sendes hen.
WireGuards dokumentation er usædvanligt direkte her: peer-identitet er den offentlige nøgle, ikke en skjult egenskab.
Det, der forlader endepunktet mod en destination, er en anden forbindelse. Hvis udgangsadressen deles med andre brugere, ser webstedet i den anden ende en fælles adresse i stedet for din. Den adskillelse er reel, og den er også den eneste adskillelse, en delt udgang giver. Den skjuler ikke din session for operatøren, og den smelter dig ikke sammen med mængden for nogen, der kan observere begge ender, og det er netop det korrelationsproblem, som RFC 6973 bruger hele sin længde på.
Hvad destinationen stadig modtager
Et websted ser udgangsadressen, anmodningen og alt, hvad din klient frivilligt afgiver. Cookies, en allerede logget ind session, et browser-fingeraftryk og en gemt konto overlever alle en VPN-forbindelse uændret, fordi tunnelen bærer dem i stedet for at erstatte dem.
At logge ind på en personlig konto identificerer dig over for det websted, uanset hvilket mærkat VPN-kontoen bærer.
Navneopløsning fortjener sin egen linje. Hvis opslag går til en resolver, som operatøren driver, ser operatøren de navne, du spørger efter. Hvis de går til en offentlig resolver, ser den resolver dem, og det samme gør enhver på ruten, der kan observere ukrypteret DNS. Uanset hvad er valget af resolver en privatlivsbeslutning, som tilmeldingsformularen ikke tog for dig.
Hvor korrelationen faktisk sker
Trafikanalyse har ikke brug for sidens indhold. Forbindelsestidspunkter, overførselsvolumen og mønstret for, hvilket endepunkt der taler med hvilken destination, kan parre en kildeforbindelse med en udgangsforbindelse, når begge sider observeres. En delt udgang beskytter dig derfor mod én observatør og ikke mod to, der samarbejder.
Transportkryptering ændrer, hvad der kan læses, ikke hvad der kan sammenkædes.
Tre spørgsmål, der erstatter sloganet
Hvert af dem har en anden ejer, og derfor kan et løfte givet på et lag ikke dække et andet. Rækkerne nedenfor er hele argumentet i kompakt form.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Kun den midterste række handler om kontoen, og kun delvist. Rækkerne over og under den bestemmes af routing, af opbevaring og af din egen browser.
Læs inventarlisten i stedet for mærkatet
En udbyder, der offentliggør en datainventarliste, et opbevaringsvindue og et identitetsarbejdsflow, har fortalt dig noget, der kan kontrolleres. En udbyder, der siger anonym, har fortalt dig et ord. Se efter, hvad der indsamles ved tilmelding, hvad der overlever, når sessionen slutter, og efter hvilken proces data udleveres til en tredjepart.
Hvis de tre mangler, er mærkatet ikke bevis på noget.
Begynd med den observatør, du faktisk bekymrer dig om, og følg derefter én række i tabellen: hvilken adresse ser den, hvilken identifikator holder den, hvor længe opbevares den. Ret den række, der fejler, i stedet for at omdøbe kontoen. Det er det eneste skridt her, der ændrer et resultat.