Guneak VPN-a piztuta daudenean bakarrik blokeatzen zaitu? Hau da ikusten duena
Blokeoa irteera helbidea izan ohi da, ez ihes bat. Egiaztatu zure trafikoa nondik iristen dela dirudien, gune batek erregistra dezakeen ebazlea eta orriaren kodeak dakiena.
Dendak ondo kargatzen du etxean eta «ohiz kanpoko trafikoaren» horma erakusten du tunela altxatzen den unean. Foro batek ez zaitu sartzen uzten, eta streaming orri batek inoiz bisitatu ez duzun herrialde batean zaudela dio. Horietako ezeinek ez du spyware-rik behar. Gune batek zure paketeak nondik iristen diren ikusten du, eta VPN batekin helbide hori datu-zentro batekoa da, ez etxeko linearena. VPN detekzio deitzen zaionaren zatirik handiena gertaera bakar horretan hasten eta amaitzen da, eta gainerakoa errore-tasa aurreikusgarria duen inferentzia da.
Blokeoa zure paketeak nondik datozela dirudien hasten da
Eskaera bakoitzak iturburu-helbide bat darama, eta jasotzen duen zerbitzariak datu publikoetan bila dezake: zein sarek iragartzen duen, sare hori hosting hornitzaile bat den, abusu-zerrendetan agertu den eta zein herrialde esleitzen dion erregistroak. Horietako ezeinek ez zaitu identifikatzen, eta guztiak elkarrekin nahikoa dira zu kategoria batean sartzeko.
Begiratu zure trafikoa arrotz batek egingo lukeen bezala. Bi komandok gainazalaren zatirik handiena estaltzen dute, eta bigarrena jendeak ahazten duena da:
curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.comLehenak irteera helbidea, haren erakundea eta herrialdea itzultzen ditu. Bigarrenak Google-ren izen zerbitzarira iritsi zen ebazlearen helbidea itzultzen du; hori sarritan zure irteeraren sare ezberdinekoa da, eta gune batek ebazlearen aldeko datuak erregistratzen baditu, ikusten duen helbidea da. Bi horiek herrialde ezberdinetakoak direnean, gune batzuek desadostasuna susmagarritzat jotzen dute, zure konfigurazioan ezer oker ez badago ere.
Ukoa tunela altxatu ondoren bakarrik hasten denean, susmatu irteera helbidea beste edozer baino lehen. Aldatu zerbitzariak eta saiatu berriro nabigatzailea ukitu aurretik. Hornitzaile beraren hiru irteeratan zehar jarraitzen dizun blokeoa hornitzailearen barrutiei buruzkoa da; beste zerbitzari batean desagertzen den blokeoa helbide bakar hari buruzkoa da.
Ordu-eremuak, hizkuntzak eta erlojuak ez datoz bat helbidearekin
Orriaren kodeak zure ordu-eremua, hizkuntza-lehentasunak eta pantaila-ezarpenak irakur ditzake baimen-eskaerarik gabe. Nabigatzaile batek Erdialdeko Europaren ordua adierazten duenean konexioa Singapurreko datu-zentro batetik iristen den bitartean, seinale sendoagoa da helbide hutsa baino, eta hori da iruzurren puntuazioa nabaritzeko eraikia dagoen desadostasun mota.
Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().localeGaratzaile-kontsolako hiru lerro horiek zure nabigatzaileak borondatez ematen duena esaten dizute. VPN bezero batek zure bidea alda dezake eta besterik ez, beraz daramazun profila etxekoa izaten jarraitzen du zure irteera ez den bitartean. Kontsistentzia da hemen garrantzitsuena: irteeraren eskualde berean ezarritako ordenagailu eramangarri bat arrunta dirudi, eta bere buruarekin bat ez datorrena ez.
Horregatik da huts egitea tartekakoa. Gune askok ez dute axola, batzuek puntuatu egiten dute, eta kidegune batek iruzurgile zarela erabakitzen du. Bezeroa ondo dabil hiru kasuetan, eta horregatik laguntza-erantzun ohikoa, «zure nabigatzailea izango da», aldi berean gogaikarria eta zati batean egia da.
Zer dakien orriaren kodeak zure makinaz
JavaScriptek ez du sare-interfazeak zerrendatzen dituen APIrik. Orri batek ezin du galdetu zure ordenagailuak zein helbide dituen, beraz script batek zure LAN helbidea irakurtzen duela dioen baieztapen zaharra plugin-en aroaren oroitzapena da batez ere, ActiveX kontrolak, Java applet-ak eta beste kode natiboak zehazki hori egiteko gai zirenean.
| Signal | What it reveals | Status today |
|---|---|---|
| Source address of the request | Exit network, country, hosting status | Always visible; the main signal |
| Time zone and language | Where the profile claims to be | Readable without permission |
| WebRTC candidates | Local addresses, historically | Host candidates are mDNS-obfuscated by default |
| Interface list | All local addresses | Not available to ordinary JavaScript |
WebRTC «tokiko helbide-ihesik ez» arauaren salbuespen zintzoa da. Haren hautagai-bilketa edozein orrik eskatuta tokiko helbideak agerian uzten zituen lehen, eta konponbidea ostalari-hautagaiak ausazko mDNS izenekin ordezkatzea izan zen. Lehenetsitako hori egungo nabigatzaileetan mantentzen da, baina nabigatzailearen erabakia da, ez protokoloaren bermea, beraz bertsio zaharkitu batek edo tokiko hautagaiak berriz gaitzen dituen konfigurazio gogor batek oraindik ihes egin dezake. Nabigatzailea eguneratzeak gehiago laguntzen dizu hemen edozein luzapenek baino.
Zure hornitzaileak izenak ikusten ditu, ez edukiak
HTTPSek orri baten edukia muturretik muturrera babesten du, eta byte horiek aurrera eramaten dituen tunelaren operadoreak ezin ditu irakurri. Operadoreak oraindik ikus dezake zein helbiderekin harremanetan jarri zinen, eta hedapen gehienetan handshake-eko zerbitzariaren izena ere bai, izenak irakurgarria izan behar baitu konexioa gune egokira bideratzeko. Encrypted Client Hello zehazki eremu hori ezkutatzeko dago, eta soilik laguntzen du bezeroak eta guneak biak onartzen dutenean.
Izen-ebazpena da beste erdia. Zure hornitzaileak ebazlea ere ematen badu, bilatzen duzun izen bakoitza ikusten du konexiorik egon aurretik. Zure gailuak HTTPS bidez ebazle publiko bat erabiltzen badu, hornitzaileak ebazle horrekin konexio bat ikusten du eta besterik ez, ebazleak berak zerrenda ikusten duen bitartean.
Zifratu gabeko HTTP eskaera bat operadorearentzat irakurgarria da hotel-sarearentzat irakurgarria den arrazoi beragatik: haren barruan ezer ez dago zifratuta. Tunel batek ez du inoiz kontrakoa esan, eta ez du aplikazioaren aukera konpontzen.
Bereizi «hau VPN bat da» eta «hau ni naiz»
Detekzioa merkea da, probabilitatezkoa eta sarritan okerra. Irteera helbide partekatuak markatzen dira beste norbaitek haiek gaizki erabili dituelako, enpresen barrutiak hosting gisa sailkatzen dira, eta operadore mugikorrek denak harritzen dituzten emaitza geografikoak sortzen dituzte. Identifikazioa beste arazo bat da: lotura iraunkor bat behar du, hala nola saioa hasi zenuen kontua, cookie bat, ordainketa-datu bat edo oharrak alderatzen dituzten bi behatzaile.
Erabaki zein den benetan borrokatzen ari zaren. Helburua orri bat irakurtzea bada, HTTPSek dagoeneko lan hori egiten du eta tunelak gutxi aldatzen du. Helburua guneak zein hirian zauden ez jakitea bada, irteerak eta ebazleak dute garrantzia. Helburua zure benetako identitatearekiko lotura haustea bada, kontua da ahulgunea, eta zerbitzariak aldatzeak ez du ezer egiten oraintxe erabili duzun saio-hasierarekin.
Irteera berri batek ez zaitu inondik irteten, eta ezin du ezabatu gune batek erabili duzun kontuari buruz dagoeneko gorde duena. Beraz, sekuentzia praktikoa ez da distiratsua: aukeratu sare arrunta dirudien irteera bat, mantendu nabigatzailearen profila harekin koherente, eguneratu nabigatzailea ihes egiteko joera duten funtzioek beren balio lehenetsi modernoak erabil ditzaten, eta onartu gune kopuru txiki batek oker asmatuko duela zutaz.