Estääkö sivusto sinut vain VPN päällä? Tämän se näkee

Kauppa latautuu kotona hyvin ja näyttää «epätavallisen liikenteen» seinän heti, kun tunneli on päällä. Foorumi kieltäytyy kirjaamasta sinua sisään, ja suoratoistosivu väittää sinun olevan maassa, jossa et ole koskaan käynyt. Mikään siitä ei vaadi vakoiluohjelmaa. Sivusto näkee osoitteen, josta pakettisi saapuvat, ja VPN:n kanssa se osoite kuuluu datakeskukselle eikä kotiliittymälle. Suurin osa siitä, mitä kutsutaan VPN:n tunnistamiseksi, alkaa ja päättyy tuohon yhteen tosiasiaan, ja loput on päätelmää, jonka virheaste on ennustettava.

Esto alkaa siitä, mistä pakettiesi näyttää tulevan

Jokainen pyyntö kantaa lähdeosoitteen, ja vastaanottava palvelin voi etsiä sen julkisista tiedoista: mikä verkko sen ilmoittaa, onko verkko hosting-palveluntarjoaja, onko se esiintynyt väärinkäyttölistoilla ja minkä maan rekisteri sille määrittää. Mikään siitä ei tunnista sinua, ja kaikki yhdessä riittää luokittelemaan sinut.

Katso omaa liikennettäsi kuin vieras katsoisi. Kaksi komentoa kattaa suurimman osan pinnasta, ja toinen on se, jonka ihmiset unohtavat:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Ensimmäinen palauttaa lähtöosoitteen, sen organisaation ja maan. Toinen palauttaa sen resolverin osoitteen, joka saavutti Googlen nimipalvelimen; se kuuluu usein eri verkkoon kuin lähtösi, ja se on osoite, jonka sivusto näkee, jos se lokittaa resolverin puolen tietoja. Kun nämä kaksi kuuluvat eri maihin, jotkut sivustot pitävät eroa epäilyttävänä, vaikka asetuksissasi ei olisi mitään vikaa.

Kun kieltäytyminen alkaa vasta tunnelin noustua, epäile ennen kaikkea lähtöosoitetta. Vaihda palvelinta ja yritä uudelleen ennen kuin kosket selaimeen. Esto, joka seuraa sinua saman palveluntarjoajan kolmen lähdön läpi, koskee palveluntarjoajan alueita; esto, joka katoaa toisella palvelimella, koskee sitä yhtä osoitetta.

Aikavyöhyke, kieli ja kello eivät sovi yhteen osoitteen kanssa

Sivun koodi voi lukea aikavyöhykkeesi, kieliasetuksesi ja näyttöasetuksesi ilman mitään lupakyselyä. Selain, joka ilmoittaa Keski-Euroopan aikaa, kun yhteys tulee Singaporen datakeskuksesta, on vahvempi signaali kuin pelkkä osoite, ja juuri sellaista ristiriitaa petosluokitus on rakennettu huomaamaan.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Ne kolme riviä kehittäjäkonsolissa kertovat, mitä selaimesi antaa vapaaehtoisesti. VPN-asiakas voi muuttaa reittiäsi eikä mitään muuta, joten kantamasi profiili pysyy kotimaisena, kun taas lähtösi ei ole. Johdonmukaisuus on tässä ratkaisevaa: lähtöön samalle alueelle asetettu kannettava näyttää tavalliselta, ja itsensä kanssa ristiriidassa oleva ei.

Siksi epäonnistuminen on ajoittaista. Monet sivustot eivät välitä, muutamat pisteyttävät sen, ja yksi jäsensivusto päättää, että olet petkuttaja. Asiakas toimii oikein kaikissa kolmessa tapauksessa, ja siksi tavallinen tukivastaus, «sen täytyy olla selaimesi», on sekä ärsyttävä että osittain totta.

Mitä sivun koodi todella tietää koneestasi

JavaScriptissä ei ole API:a, joka luettelee verkkoliitännät. Sivu ei voi kysyä, mitkä osoitteet kannettavassasi on, joten vanha väite, että skripti lukee LAN-osoitteesi, on lähinnä muisto liitännäisten aikakaudelta, jolloin ActiveX-komponentit, Java-sovelmat ja muu natiivikoodi pystyivät juuri siihen.

WebRTC on rehellinen poikkeus säännöstä «ei paikallisten osoitteiden vuotoja». Sen ehdokkaiden keruu paljasti aikoinaan paikallisia osoitteita jokaiselle sivulle, joka pyysi, ja korjaus oli korvata isäntäehdokkaat satunnaisilla mDNS-nimillä. Tämä oletus pätee nykyisissä selaimissa, mutta se on selaimen päätös eikä protokollan tae, joten vanhentunut versio tai kovennettu kokoonpano, joka ottaa paikalliset ehdokkaat uudelleen käyttöön, voi silti vuotaa. Selaimen päivittäminen auttaa sinua tässä enemmän kuin mikään laajennus.

Palveluntarjoajasi näkee nimet, ei sisältöä

HTTPS suojaa sivun sisällön päästä päähän, eikä niitä tavuja välittävä tunnelin operaattori voi lukea niitä. Operaattori voi silti nähdä, mihin osoitteeseen otit yhteyttä, ja useimmissa käyttöönotoissa kättelyn palvelinnimen, koska nimen on oltava luettavissa, jotta yhteys voidaan reitittää oikealle sivustolle. Encrypted Client Hello on olemassa juuri tuon kentän piilottamiseen, ja se auttaa vain, kun sekä asiakas että sivusto tukevat sitä.

Nimien selvitys on toinen puoli. Jos palveluntarjoajasi toimittaa myös resolverin, se näkee jokaisen etsimäsi nimen ennen kuin yhteyttä on olemassa. Jos laitteesi käyttää julkista resolveria HTTPS:n yli, palveluntarjoaja näkee yhteyden siihen resolveriin eikä mitään muuta, kun taas resolveri itse näkee luettelon.

Salaamaton HTTP-pyyntö on operaattorille luettavissa samasta syystä kuin se on luettavissa hotelliverkolle: mikään sen sisällä ei ole salattua. Tunneli ei ole koskaan väittänyt muuta, eikä se korjaa sovelluksen valintaa.

Erottele «tämä on VPN» ja «tämä olen minä»

Tunnistus on halpaa, todennäköisyyspohjaista ja usein väärää. Jaetut lähtöosoitteet merkitään, koska joku muu käytti niitä väärin, yritysten alueet luokitellaan hostingiksi, ja matkapuhelinoperaattorit tuottavat maantieteellisiä tuloksia, jotka yllättävät kaikki. Tunnistaminen on eri ongelma: se vaatii pysyvän yhteyden, kuten tilin, johon kirjauduit, evästeen, maksutiedon tai kaksi havainnoijaa vertailemassa muistiinpanoja.

Päätä, kumpaa vastaan todella taistelet. Jos tavoite on lukea sivu, HTTPS tekee jo sen työn eikä tunneli muuta paljon. Jos tavoite on estää sivustoa tietämästä, missä kaupungissa olet, lähtö ja resolveri ratkaisevat. Jos tavoite on katkaista yhteys todelliseen henkilöllisyyteesi, heikko kohta on tili, eikä palvelinten vaihtaminen tee mitään juuri käyttämällesi kirjautumiselle.

Uusi lähtö ei kirjaa sinua ulos mistään, eikä se voi poistaa sitä, mitä sivusto on jo tallentanut käyttämästäsi tilistä. Käytännön järjestys on siksi vaatimaton: valitse lähtö, jonka verkko näyttää tavalliselta, pidä selainprofiili sen kanssa yhdenmukaisena, päivitä selain, jotta vuodoille alttiit ominaisuudet käyttävät nykyaikaisia oletuksiaan, ja hyväksy, että pieni joukko sivustoja arvaa sinusta silti väärin.