Skjuler en VPN browserens fingeraftryk? Tor Browser siger nej

En VPN flytter din forbindelse til en anden udgangsadresse og stopper der. Tor Browser ændrer, hvordan browseren præsenterer sig selv, fordi adressen kun er et af de signaler, et websted kan sammenligne. At bytte det ene ud med det andet er som at skifte frakke og forvente, at ingen bemærker din højde. De to lag besvarer forskellige spørgsmål, og en sammenligning giver kun mening, hvis du holder dem adskilt.

Webstedet indsamler mere end en adresse

Browser-API'er og gengivelsesadfærd afslører kombinationer af egenskaber: hvordan tekst tegnes, hvilke skrifttyper der findes, hvad vinduet rapporterer om sig selv, hvordan mediefunktioner opfører sig. Hver for sig er disse værdier ikke bemærkelsesværdige. Sammen indsnævrer de en besøgende til en lille gruppe, og den gruppe er ofte nok til at følge nogen på tværs af sessioner helt uden nogen cookie.

Intet af det ændrer sig, når pakken tager en anden rute. En VPN kan ændre den kildeadresse, et websted logger, mens hver eneste af disse browseregenskaber forbliver præcis, som de var. Adressen og fingeraftrykket indsamles af forskellige dele af siden.

En konto, du er logget ind på, eller en eksisterende identifikator har ikke engang brug for fingeraftrykket. Hvis du logger ind, ved webstedet allerede, hvem du er, og derfor bør en IP-ændring aldrig behandles som en automatisk nulstilling af sessionen. Det samme gælder en vedvarende cookie, et gemt enhedstoken eller en URL, der bærer en identifikator. Alle tre overlever en ny adresse helt uden nogen form for fingeraftryk.

Hvad Tor Browser standardiserer

Tor Browser er bygget op om at mindske, hvor meget én besøgende adskiller sig fra en anden. Den begrænser skrifttyper og plugins, viser en standard vinduesgeometri, isolerer aktivitet mellem websteder og holder sin egen konfiguration tæt på en kendt baseline. Målet er ikke at være usynlig, men at undgå at være den eneste i stikprøven med en usædvanlig kombination.

Det design er grunden til, at installation af ekstra udvidelser arbejder imod den. Hver tilføjelse kan indføre en målbar forskel eller en uventet netværksanmodning, og en browser, der er tilpasset til privatliv, bliver ofte mere karakteristisk end standarden. Tor-projektets vejledning om fingeraftryk beskriver de tilsigtede beskyttelser, og hvor de er begrænsede.

Det er også grunden til, at det ikke er det samme at pege en almindelig browser mod en Tor-proxy. Ruting kan omdirigeres; browserens egen præsentation kan ikke gøres ensartet med en proxyindstilling. Hold den understøttede browser intakt og opdateret.

Hvad en VPN faktisk ændrer

En VPN ændrer ruten og kildeadressen for den trafik, du sender gennem den. Det er virkelig nyttigt, når et program eller et netværk kræver et bestemt udgangspunkt, når en udbyder blokerer et område, eller når du vil have, at dit lokale netværk skal se mindre til dine destinationer.

Det, den ikke gør, er at normalisere browserfunktioner eller isolere et websted fra et andet i samme browserprofil. Det er et værktøj på netværkslaget, og at behandle det som et privatlivslag for browseren forveksler de to. En VPN plus Tor Browser bevarer begge sæt ansvar, og ingen af lagenes succes beviser noget om det andet.

Hvis du kører Tor Browser gennem en VPN, så forvent, at tunnelen bærer Tor-trafikken, og at browseren styrer sin egen præsentation. En fungerende tunnel er ikke bevis for, at fingeraftryksbeskyttelsen er effektiv, ligesom en god browsertest intet siger om, hvad der sker, når tunnelen falder.

Test lagene hver for sig

Én kontrol pr. lag, i denne rækkefølge:

$ curl -s https://check.torproject.org/api/ip
{"IsTor":true,"IP":"185.220.101.4"}

Det svar beskriver udgangsvejen, ikke browseren. Kør det uden for Tor Browser, og du lærer noget om netværket; kør den samme anmodning inde i Tor Browser, og du lærer, om den browser bruger Tor-netværket. Ingen af resultaterne fortæller, hvor usædvanlig browseren ser ud.

For browserlaget kan du sammenligne en nyinstalleret Tor Browser med en, der har samlet udvidelser og ændrede indstillinger. De forskelle, du har indført, er pointen: standarden sigter mod en fælles baseline, og hver tilpasning flytter dig væk fra den. Test dem på samme websted, i samme sessionstype, uden at logge ind.

Hold konklusionerne adskilt. En VPN svarer på „hvilken adresse kom denne forbindelse fra“, og Tor Browser svarer på „hvor meget skiller denne browser sig ud“. At forveksle de to giver selvsikker privatlivsrådgivning, der ikke beskytter nogen af dem.