Din VPN er tændt, men appen ved stadig, hvor du er

Du tænder for VPN’en, åbner appen, og den viser stadig den by, du står i. Der er ikke noget i stykker. Appen rapporterer noget, den allerede ved, i stedet for at se din trafik slippe ud af tunnelen. Der ligger to forskellige spørgsmål skjult i det resultat, og når man blander dem sammen, sender man folk ud i at geninstallere klienten.

Hvad appen faktisk fik

En position på en skærm kan komme fra mindst fire steder. En lokationsbestemmelse fra enheden, en omtrentlig by udledt af din IP-adresse, en adresse gemt i din konto, eller noget du har skrevet i en formular.

En lokationsbestemmelse fra enheden er det, folk mener, når de siger, at appen ved, hvor de er. På en telefon er det GPS, Wi-Fi-scanning og mobildata, som systemet kombinerer; på en bærbar er det som regel et opslag i en Wi-Fi-database. Det hele kommer gennem en tilladelse, som appen har bedt om, og du har givet. Tunnelen indgår aldrig.

Kontodata er den mere snu kilde. En leveringsapp, der allerede gemmer din hjemadresse, har ikke brug for en sensor for at vise den tilbage til dig.

Hvorfor tunnelen ikke kan dække det

En VPN erstatter den adresse, din trafik ser ud til at komme fra. Den rører ikke ved tilladelsesmodellen, sensorerne eller kontoposten på serveren. Data, som appen indsamler lokalt og derefter uploader, rejser inde i den krypterede forbindelse, og det er netop formålet med forbindelsen. Serveren, der modtager dem, får kendskab til indholdet, fordi appen valgte at sende det.

Tænk på et navn, der er skrevet i en formular. Tunnelen skjuler konvolutten, ikke brevet.

Det er derfor, en adressekontrol i en browser kan være uenig med en app. Browseren rapporterer udgangsadressen; appen rapporterer en sensoraflæsning. Begge er korrekte svar på forskellige spørgsmål.

Tilladelse, rettighed og hvad platformen tillader

Apples lokationsstyring til Mac er en nyttig reference, fordi den forklarer, hvor tallet kommer fra: apps bruger Location Services, og Mac’en skønner sin position ud fra Wi-Fi i nærheden. Samme side nævner, at apps og websteder kan bruge andre metoder, selv når Location Services er slået fra. Det forbehold er hele historien på én linje.

På telefoner er opdelingen den samme. En app har enten en lokationstilladelse eller ikke, og platformen bestemmer, hvad den kan læse. En VPN-klient er ikke en tilladelsesmanager og kan ikke tilbagekalde en anden apps tilladelse.

Sprog, tidszone og lokalitet er svage signaler i sig selv. De flytter, hvor en tjeneste gætter, ikke hvor du er.

Sådan ser en egentlig lækage ud

Egentlige lækager er værd at skille ud, fordi de har andre symptomer: din rigtige adresse dukker op i sidens egen diagnostik, DNS-forespørgsler løses gennem din internetudbyder, IPv6-trafik forlader tunnelen, eller en regel for delt tunnel udelukker den app, du bekymrede dig om. De fejl viser en vært, du ikke havde tænkt dig at kontakte, og de ændrer sig, når du slår VPN’en fra.

Tegnet er overraskelsens retning. En lækage afslører, hvem du er, over for en fremmed, mens en app-indsendelse afslører, hvad appen allerede havde.

Test det første tilfælde ved at sammenligne, hvad et websted rapporterer om din adresse, med hvad VPN-dashboardet siger om den forbundne session. Test det andet ved at se på, hvad din kontoprofil indeholder.

Hvad du skal tjekke i de næste ti minutter

Åbn appens tilladelsespunkt, og læs lokationsindstillingen. Hvis den er tilladt, og du ikke vil have, at appen har en position, skal du skifte den til omtrentlig eller afvise den og derefter genindlæse appen, så den holder op med at bruge en cachet bestemmelse. Se derefter på den gemte adresse og uploadfelterne, fordi en tilbagekaldt tilladelse ikke sletter en værdi, som serveren allerede har. Til sidst skal du tjekke VPN-klientens liste over delt tunnel, så du ved, hvilke apps der går uden om tunnelen.

Gør de tre ting i rækkefølge, og uklarheden falder som regel af sig selv.

Hvis positionen overlever alt det, og VPN-dashboardet stadig viser en sund session, kigger du på gemte data og ikke på en lækage. Det flytter sig ikke, hvis du skifter udgangsland. At slette den gemte værdi, eller det kontofelt, der skabte den, er det eneste skridt, der flytter det.