Blokkearret de side dy allinnich mei de VPN oan? Dit is wat it sjocht
De blokkade is meastentiids it útgongsadres, net in lek. Kontrolearje it netwurk dêr't jo ferkear wei liket te kommen, de resolver dy't in side fêstlizze kin, en wat de sidenkoade wit.
De winkel laden thús goed en lit in muorre fan «ûngewoan ferkear» sjen op it momint dat de tunnel omheech giet. In forum wegeret dy yn te loggen, en in streaming-side hâldt út datsto yn in lân bisto datst nea besocht hast. Neat dêrfan freget spyware. In side sjocht it adres dêr't jo pakketten wei komme, en mei in VPN heart dat adres by in datasintrum ynstee fan by in thúsline. It measte fan wat VPN-deteksje neamd wurdt, begjint en einiget by dat iene feit, en de rest is konklúzje mei in foarspelbere flaterkâns.
De blokkade begjint by wêr't jo pakketten wei lykje te kommen
Elk fersyk draacht in boarneadres, en de ûntfangende server kin it opsykje yn iepenbiere gegevens: hokker netwurk it oankundiget, oft dat netwurk in hostingprovider is, oft it yn misbrûklisten ferskynd is, en hokker lân it register tawiist. Neat dêrfan identifisearret dy, en alles byinoar is genôch om dy yn in kategory te pleatsen.
Besjoch jo eigen ferkear sa't in frjemdling it dwaan soe. Twa opdrachten dekke it grutste part fan it oerflak, en de twadde is dy't minsken ferjitte:
curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.comDe earste jout it útgongsadres, syn organisaasje en syn lân werom. De twadde jout it adres fan 'e resolver dy't de nammeserver fan Google berikte; dat heart faak by in oar netwurk as jo útgong, en it is it adres dat in side sjocht as it gegevens oan 'e resolverkant fêstleit. As dy twa by ferskillende lannen hearre, beskôgje guon siden de ôfwiking as fertocht, sels as der neat mis is mei jo ynstelling.
As de wegering pas begjint neidat de tunnel omheech giet, fertinkje dan earst it útgongsadres. Feroarje fan server en besykje it opnij foardatst de browser oanrekest. In blokkade dy't dy oer trije útgongen fan deselde provider folget, giet oer de berikken fan 'e provider; in blokkade dy't op in oare server ferdwynt, giet oer dat iene adres.
Tiidsône, taal en klok binne it net iens mei it adres
Sidenkoade kin jo tiidsône, jo taalfoarkarren en jo skermynstellingen lêze sûnder ien tastimmingsfraach. In browser dy't Midden-Europeeske tiid rapportearret wylst de ferbining út in datasintrum yn Singapore komt, is in sterker sinjaal as it adres allinnich, en it is krekt it soart ôfwiking dat fraudescoring boud is om op te merken.
Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().localeDy trije rigels yn 'e ûntwikkelerskonsole fertelle dy wat jo browser frijwillich jout. In VPN-klant kin jo rûte feroarje en neat oars, dus it profyl datst drage moatst bliuwt ynlânsk wylst jo útgong dat net is. Konsekwinsje is wat hjir fan belang is: in laptop dy't op deselde regio as de útgong ynsteld is, liket gewoan, en ien dy't mei himsels yn striid is, net.
Dêrom is it mislearjen ek ûnregelmjittich. In protte siden kin it neat skele, in pear skoare it, en ien lidmaatskipsside beslút datst in fraudeur bist. De klant wurket yn alle trije gefallen goed, en dêrom is it gewoane stipe-antwurd, «it sil wol jo browser wêze», tagelyk ferfelend en foar in part wier.
Wat sidenkoade eins wit oer jo masine
JavaScript hat gjin API dat netwurkynterfaces opsomt. In side kin net freegje hokker adressen jo laptop hat, dus de âlde bewearing dat in script jo LAN-adres lêst is fral in oantinken oan it plugin-tiidrek, doe't ActiveX-kontrôles, Java-applets en oare nativen koade krekt dat koene.
| Signal | What it reveals | Status today |
|---|---|---|
| Source address of the request | Exit network, country, hosting status | Always visible; the main signal |
| Time zone and language | Where the profile claims to be | Readable without permission |
| WebRTC candidates | Local addresses, historically | Host candidates are mDNS-obfuscated by default |
| Interface list | All local addresses | Not available to ordinary JavaScript |
WebRTC is de earlike útsûndering op «gjin lokale adreslekkens». It sammeljen fan kandidaten lei eartiids lokale adressen bleat oan elke side dy't derom frege, en de oplossing wie hostkandidaten te ferfangen troch tafallige mDNS-nammen. Dat standertgedrach jildt yn aktuele browsers, mar it is in browserbeslút en gjin protokolgarânsje, dus in ferâldere build of in hurde konfiguraasje dy't lokale kandidaten wer oansette, kin noch altyd lekke. De browser bywurkje helpt dy hjir mear as hokker útwreiding dan ek.
Jo provider sjocht de nammen, net de ynhâld
HTTPS beskermet de ynhâld fan in side fan ein oant ein, en de tunneloperator dy't dy bytes trochstjoert kin se net lêze. De operator kin noch altyd sjen hokker adresst kontakt hiest, en yn 'e measte ymplemintaasjes de servernamme yn 'e handshake, om't de namme lêsber wêze moat om de ferbining nei de juste side te rûtearjen. Encrypted Client Hello bestiet krekt om dat fjild te ferbergjen, en it helpt allinnich as sawol de klant as de side it stypje.
Namme-oplossing is de oare helte. As jo provider ek de resolver leveret, sjocht it elke namme dy'tst opsykest foardat der in ferbining is. As jo apparaat in iepenbiere resolver oer HTTPS brûkt, sjocht de provider in ferbining nei dy resolver en neat oars, wylst de resolver sels de list sjocht.
In net-fersifere HTTP-fersyk is foar de operator lêsber om deselde reden dat it foar it hotellnetwurk lêsber is: neat derfan is fersifere. In tunnel hat nea oars beweard, en hy reparearret de kar fan 'e tapassing net.
Skied «dit is in VPN» fan «dit bin ik»
Deteksje is goedkeap, kânsber en faak ferkeard. Dielde útgongsadressen wurde markearre om't immen oars se misbrûkt hat, bedriuwsberikken wurde as hosting klassifisearre, en mobile operators produsearje geografyske resultaten dy't elkenien ferrasse. Identifikaasje is in oar probleem: it hat in bliuwende keppeling nedich, lykas in akkount dêr'tst by oanmeld bist, in cookie, in betellingsdetail, of twa waarnimmers dy't notysjes ferlykje.
Beslis tsjin hokker fan beide moatst echt fjochtsje. As it doel is in side te lêzen, docht HTTPS dat wurk al en feroaret de tunnel mar in bytsje. As it doel is om 'e side te behinderjen te witten yn hokker stêd oftst bist, binne de útgong en de resolver fan belang. As it doel is de keppeling nei jo echte identiteit te brekken, is it akkount it swakke punt, en feroarje fan servers docht neat oan 'e oanmelding dy'tst krekt brûkt hast.
In nije útgong logt dy nearne út, en hy kin net wiskje wat in side al oer it akkount datst brûkt hast bewarre hat. De praktyske folchoarder is dêrom sûnder glâns: kies in útgong waans netwurk gewoan liket, hâld it browserprofyl dêrmei konsekwint, bywurkje de browser sadat de lekgefoelige funksjes har moderne standertwearden brûke, en akseptearje dat in lyts tal siden noch altyd ferkeard oer dy riede sil.