Kas sait blokeerib sind ainult VPN-iga? Seda see näeb

Pood laeb kodus korralikult ja näitab tunnelitõusu hetkel «ebatavalise liikluse» seina. Foorum keeldub sind sisse logimast ja voogedastusleht väidab, et oled riigis, mida sa pole kunagi külastanud. Miski sellest ei nõua nuhkvara. Sait näeb aadressi, kust sinu paketid saabuvad, ja VPN-iga kuulub see aadress andmekeskusele, mitte koduliinile. Suurem osa sellest, mida nimetatakse VPN-i tuvastamiseks, algab ja lõpeb selle ühe faktiga, ja ülejäänu on järeldus etteaimatava veamääraga.

Blokeering algab sellest, kust sinu paketid näivad tulevat

Iga päring kannab lähteaadressi ja vastuvõttev server saab seda avalikest andmetest otsida: milline võrk seda teavitab, kas see võrk on hostimisteenuse pakkuja, kas see on ilmunud kuritarvituste nimekirjadesse ja millise riigi register sellele määrab. Miski sellest ei identifitseeri sind, ja kõik koos on piisav, et sind kategooriasse paigutada.

Vaata oma liiklust nii, nagu vaataks võõras. Kaks käsku katavad suurema osa pinnast, ja teine on see, mille inimesed unustavad:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Esimene tagastab väljundiaadressi, selle organisatsiooni ja riigi. Teine tagastab resolvari aadressi, mis jõudis Google'i nimeserverini; see kuulub sageli sinu väljundist erinevasse võrku ja on aadress, mida sait näeb, kui see logib resolveripoolseid andmeid. Kui need kaks kuuluvad eri riikidesse, peavad mõned saidid seda lahknevust kahtlaseks, isegi kui sinu seadistuses pole midagi valesti.

Kui keeldumine algab alles pärast tunneli tõusmist, kahtlusta ennekõike väljundiaadressi. Vaheta serverit ja proovi uuesti, enne kui brauserit puutud. Blokeering, mis järgib sind sama teenusepakkuja kolme väljundi kaudu, puudutab pakkuja vahemikke; blokeering, mis kaob teisel serveril, puudutab seda ühte aadressi.

Ajavöönd, keel ja kell ei nõustu aadressiga

Lehekülje kood saab lugeda sinu ajavööndit, keeleeelistusi ja ekraaniseadeid ilma ühegi loaküsimuseta. Brauser, mis teatab Kesk-Euroopa ajast, samal ajal kui ühendus tuleb Singapuri andmekeskusest, on tugevam signaal kui aadress üksi, ja just sellist lahknevust on pettusehindamine loodud märkama.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Need kolm rida arendajakonsoolis ütlevad sulle, mida sinu brauser vabatahtlikult annab. VPN-klient saab muuta sinu marsruuti ja mitte midagi muud, nii et profiil, mida kannad, jääb kodumaiseks, samal ajal kui sinu väljund ei ole. Siin loeb järjekindlus: väljundiga samasse piirkonda seatud sülearvuti näeb tavaline välja, ja see, mis iseendaga vastuolus on, mitte.

Sellepärast ongi tõrge aeg-ajalt. Paljudel saitidel on ükskõik, mõned hindavad seda, ja üks liikmesait otsustab, et sa oled pettur. Klient töötab kõigil kolmel juhul korrektselt, ja seetõttu on tavaline toe vastus «see peab sinu brauser olema» korraga tüütu ja osaliselt tõene.

Mida lehekülje kood tegelikult sinu masinast teab

JavaScriptil pole API-t, mis loetleks võrguliideseid. Leht ei saa küsida, millised aadressid sinu sülearvutil on, seega vana väide, et skript loeb sinu LAN-aadressi, on peamiselt mälestus pluginate ajastust, mil ActiveX-juhtelemendid, Java-appletid ja muu natiivne kood said täpselt seda teha.

WebRTC on aus erand reeglist «lokaalseid aadressilekkeid ei ole». Selle kandidaatide kogumine paljastas kunagi lokaalseid aadresse igale lehele, mis seda palus, ja parandus oli asendada hostikandidaadid juhuslike mDNS-nimedega. See vaikeväärtus kehtib praegustes brauserites, kuid see on brauseri otsus, mitte protokolli garantii, nii et vananenud versioon või karmistatud konfiguratsioon, mis lokaalsed kandidaadid uuesti lubab, võib ikka lekkida. Brauseri uuendamine aitab sind siin rohkem kui ükski laiendus.

Sinu teenusepakkuja näeb nimesid, mitte sisu

HTTPS kaitseb lehe sisu otsast otsani ja tunnelioperaator, kes neid baite edasi annab, ei saa neid lugeda. Operaator näeb endiselt, millise aadressiga sa ühendust võtsid, ja enamikus juurutustes ka serverinime käepigistuses, sest nimi peab olema loetav, et ühendus suunataks õigele saidile. Encrypted Client Hello on olemas just selle välja peitmiseks ja aitab ainult siis, kui nii klient kui ka sait seda toetavad.

Nimelahendus on teine pool. Kui sinu teenusepakkuja pakub ka resolverit, näeb see iga nime, mida otsid, enne kui ühendus tekib. Kui sinu seade kasutab HTTPS-i kaudu avalikku resolverit, näeb pakkuja ühendust selle resolveriga ja mitte midagi muud, samal ajal kui resolver ise näeb nimekirja.

Krüpteerimata HTTP-päring on operaatorile loetav samal põhjusel, miks see on loetav hotellivõrgule: miski selle sees ei ole krüpteeritud. Tunnel ei ole kunagi väitnud vastupidist ja see ei paranda rakenduse valikut.

Erista «see on VPN» ja «see olen mina»

Tuvastamine on odav, tõenäosuslik ja sageli vale. Jagatud väljundiaadresse märgitakse, sest keegi teine on neid kuritarvitanud, ettevõtete vahemikud liigitatakse hostimiseks ja mobiilioperaatorid annavad geotulemusi, mis üllatavad kõiki. Identifitseerimine on teine probleem: see vajab püsivat seost, nagu kontot, kuhu sa sisse logisid, küpsist, makseandmeid või kahte vaatlejat, kes märkmeid võrdlevad.

Otsusta, mille vastu sa tegelikult võitled. Kui eesmärk on lehte lugeda, teeb HTTPS seda tööd juba ja tunnel muudab vähe. Kui eesmärk on takistada saiti teadmast, millises linnas sa oled, loevad väljund ja resolver. Kui eesmärk on katkestada side sinu tegeliku identiteediga, on nõrk koht konto, ja serverite vahetamine ei tee midagi sisselogimisega, mida sa just kasutasid.

Värske väljund ei logi sind kuskilt välja ega suuda kustutada seda, mida sait on juba kasutatud konto kohta salvestanud. Praktiline järjekord on seetõttu tagasihoidlik: vali väljund, mille võrk näeb tavaline välja, hoia brauseriprofiil sellega kooskõlas, uuenda brauserit, et lekkimisaltid funktsioonid kasutaksid oma kaasaegseid vaikeväärtusi, ja lepi sellega, et väike arv saite arvab sinu kohta ikka valesti.