Ændrer en VPN dit browsers fingeraftryk? Hvad du skal teste først

Du skifter VPN'en til et andet land, genindlæser butikken, og den hilser dig stadig ved navn med den samme kurv. Det er det øjeblik, hvor ordet fingeraftryk typisk kommer ind i samtalen, oftest efterfulgt af et testsite, der hævder, at din browser er én ud af en million. Tag hellere problemet i rækkefølge: for almindelige sideforespørgsler ændrer tunnelen præcis ét felt, mens browseren bliver ved med at rapportere snesevis, og testen måler noget smallere, end det lyder. Fem trin adskiller de tre ting.

Trin 1: udeluk de kedelige grunde til, at du blev genkendt

Begynd logget ud. Åbn et privat vindue, besøg den samme side, og se, om den stadig opfører sig, som om den kender dig. Cookies, lokal lagring og en aktiv session forklarer de fleste rapporter om „den så mig gennem VPN'en“, og ingen af dem er fingeraftryk.

Hvis siden stadig genkender noget i et privat vindue, så kig på den synlige tilstand, du har taget med: samme konto i en anden fane, en gemt formularpost, en adgangskodeadministrator der udfylder din adresse, eller et websted, du har godkendt med et token i URL'en. Hver af dem er en gemt reference, og rydning af profilen fjerner den.

Kun når en ren profil uden session stadig giver en genkendelse, der korrelerer med tidligere besøg, er det værd at tale om et fingeraftryk. Det er en meget smallere påstand end „VPN'en virker ikke“, og det er den, du faktisk kan teste.

Trin 2: skift udgangen og list, hvad der ikke ændrede sig

Sæt tunnelen op, og kontroller derefter den ene værdi, tunnelen skal flytte: den adresse, en server ser. Enhver side til adresseopslag viser den, eller læs den fra et endepunkt, du selv kontrollerer, med curl -s https://your-endpoint.example/ip. Enhver ekko-tjeneste, du bruger, ser forespørgslen, så et endepunkt, du ejer, holder det ude af en andens log. Bekræft, at den ændrede sig. Nu den interessante del — list, hvad browseren stadig rapporterer om sig selv, for næsten intet af det rejser i pakkehovedet.

Rækken med tidszonen er den, det er værd at stoppe ved. Den læses fra styresystemet, så en tunnel, der flytter din trafik til et andet kontinent, mens uret stadig siger din hjemby, giver en uoverensstemmelse, der i sig selv er en særpræget observation. Det samme gælder en sprogliste i ét land og en udgang i et andet: ikke bevis for noget, blot en kombination, der skiller sig ud. WebRTC er undtagelsen i tabellen: en side, der åbner en medie- eller datakanal, kan indsamle kandidatadresser, og med tunnelen oppe kan en kandidat bære udgangsadressen eller, uden lækagebeskyttelse, stadig tilbyde din lokale.

Trin 3: læs en fingeraftrykstest for det, den rapporterer

EFF's Cover Your Tracks er det sædvanlige første stop. Den viser egenskaber, din browser udsætter for den side, og giver en dom om, hvor mange browsere i dens stikprøve der deler dem. Læs det med småt: stikprøven er de mennesker, der tog testen, signalerne er dem, den side valgte at indsamle, og dommen er et skøn over entropi-bits, ikke en folketælling.

Så „din browser er unik“ betyder unik i netop det datasæt, i dag, med netop det sæt af prober. Det betyder ikke, at et websted kan udlede dit navn, og det er ikke en permanent egenskab — en browseropdatering kan flytte værdien, uden at du rører noget.

Brug testen som et måleinstrument, ikke som en score, der skal optimeres. Noter de rapporterede værdier, ændr én ting, og sammenlign de samme felter. Hvis intet ændrede sig i browseren, og målingerne alligevel flyttede sig, var ændringen støj i stikprøven, ikke i dig.

Trin 4: ændr de egenskaber, der faktisk er dine

Nu kan du handle på bestemte rækker. Sproglisten, tidszonen og de regionale formater er indstillinger, og at tilpasse dem til det sted, du hævder at være, er sammenhængende adfærd frem for et trick. En separat browserprofil per kontekst holder webstedsdata og logins adskilt, hvilket håndterer genkendelsen fra trin 1 mere pålideligt end nogen anti-fingeraftryk-udvidelse.

Vær forsigtig med det klassiske råd at tilføje hærdningsudvidelser. Hver af dem ændrer din observerbare overflade, og et sæt usædvanlige indstillinger kan gøre dig sjældnere i stedet for mere almindelig. Nogle blokerer en API, som sider kan opdage mangler; andre efterlader en karakteristisk lappet signatur. En udvidelses popularitet er ikke bevis for, at den reducerer identificerbarhed.

Browsere, der tager det alvorligt, gør noget strukturelt anderledes: de standardiserer. Tor Browser tilstræber, at hver bruger rapporterer de samme værdier, Firefox leverer en beskyttelsestilstand, der rapporterer standardiserede værdier fra et lille sæt i stedet for dine rigtige, og Safari begrænser, hvad websteder kan læse. Det er en designbeslutning anvendt konsekvent, og vejledningen i W3C's vejledning om fingeraftryk forklarer, hvorfor standardisering slår tilfældiggørelse per bruger for dette problem.

Trin 5: beslut, hvilket lag du egentlig havde brug for

Tre adskilte ting bliver pakket ind i „skjul mig“: netværksstien, browserens observerbare overflade og dine konti. En VPN tager sig af det første. Den rører ikke det andet og kan ikke hjælpe med det tredje — login er den mest direkte identifikator, der findes, og den overlever enhver udgangsændring.

Hvis dit mål er, at et websted ikke kan se, at to besøg hænger sammen, har du også brug for browserlaget: en ren profil per kontekst, konsistente indstillinger og ingen delt login. Hvis dit mål er, at webstedet slet ikke kan se, hvem du er, er det en trusselsmodel, hvor Tor Browser, der kombinerer routing med standardisering på browserniveau, er det sammenhængende valg frem for en almindelig browser bag en tunnel.

Hvis dit mål kun er, at webstedet ser en anden by og din udbyder intet ser, er tunnelen alene faktisk tilstrækkelig, og resultatet af fingeraftrykstesten er irrelevant for det mål. Det meste af skuffelsen her kommer af at købe ét lag og forvente tre.

En rækkefølge, der holder trinene ærlige:

• Genskab genkendelsen med en ren profil og uden login, før du bebrejder tunnelen.
• Bekræft, at udgangsadressen ændrede sig, og noter derefter, hvilke browserværdier der ikke gjorde.
• Sammenlign de samme testfelter før og efter en enkelt ændring, ikke topresultatet.
• Ret tidszone og sprog, så de passer til din historie, før du tilføjer nogen udvidelse.
• Vælg det lag, der passer til målet: netværk, browseroverflade eller konti.