האם VPN משנה את טביעת האצבע של הדפדפן? מה לבדוק קודם
VPN מחליף את כתובת היציאה שלכם ובבקשות דף רגילות כמעט ולא דבר אחר. עברו את חמשת השלבים וראו אילו ערכי דפדפן באמת משתנים.
אתם מחליפים את ה-VPN למדינה אחרת, טוענים מחדש את החנות, והיא עדיין מקבלת אתכם בשמכם עם אותה סל. זה הרגע שבו המילה טביעת אצבע נכנסת בדרך כלל לשיחה, ולעיתים קרובות אחריה אתר בדיקה שטוען שהדפדפן שלכם הוא אחד ממיליון. עדיף לגשת לבעיה לפי הסדר: בבקשות דף רגילות המנהרה משנה בדיוק שדה אחד, הדפדפן ממשיך לדווח על עשרות, והבדיקה מודדת משהו צר יותר ממה שזה נשמע. חמישה שלבים מפרידים בין שלושת הדברים האלה.
שלב 1: לשלול את הסיבות המשעממות לכך שזיהו אתכם
התחילו כשאתם מנותקים. פתחו חלון פרטי, בקרו באותו עמוד וראו אם הוא עדיין מתנהג כאילו הוא מכיר אתכם. קובצי cookie, אחסון מקומי והפעלה פעילה מסבירים את רוב הדיווחים «הוא ראה אותי דרך ה-VPN», ואף אחד מהם אינו טביעת אצבע.
אם העמוד עדיין מזהה משהו בחלון פרטי, הסתכלו על המצב הגלוי שהבאתם איתכם: אותו חשבון בכרטיסייה אחרת, רשומת טופס שמורה, מנהל סיסמאות שממלא את הכתובת שלכם, או אתר שהרשתם לו באמצעות אסימון בכתובת URL. כל אחד מהם הוא הפניה שמורה, וניקוי הפרופיל מסיר אותה.
רק כאשר פרופיל נקי ללא הפעלה עדיין מייצר זיהוי שמתאם לביקורים קודמים שווה לדבר על טביעת אצבע. זו טענה צרה בהרבה מ«ה-VPN לא עובד», והיא זו שאתם באמת יכולים לבדוק.
שלב 2: לשנות את היציאה ולפרט מה לא השתנה
העלו את המנהרה, ואז בדקו את הערך היחיד שהמנהרה אמורה להזיז: הכתובת ששרת רואה. כל עמוד לחיפוש כתובת מציג אותה, או קראו אותה מנקודת קצה שאתם שולטים בה בעזרת curl -s https://your-endpoint.example/ip. כל שירות הד מכיר את הבקשה, ולכן נקודת קצה בבעלותכם מרחיקה אותה מהתיעוד של מישהו אחר. אשרו שהיא השתנתה. עכשיו החלק המעניין — פרטו על מה הדפדפן עדיין מדווח על עצמו, כי כמעט שום דבר מזה לא נוסע בכותרת החבילה.
| What a page can read | Changed by the VPN? | Where it comes from |
|---|---|---|
| Public source address | Yes | The tunnel's exit |
| WebRTC candidate addresses | Sometimes | Browser network stack and leak protection |
| User agent string | No | Browser build and platform |
| Language preference list | No | Browser and OS settings |
| Timezone offset | No | The operating system clock |
| Screen size, colour depth, pixel ratio | No | Display and window state |
| Installed fonts, canvas and WebGL output | No | Rendering stack and GPU |
| Accept-Language, client hints | No | Browser configuration |
שורת אזור הזמן היא זו ששווה לעצור בה. היא נקראת ממערכת ההפעלה, ולכן מנהרה שמעבירה את התעבורה שלכם ליבשת אחרת בזמן שהשעון עדיין אומר את עיר הבית שלכם יוצרת אי-התאמה שהיא כשלעצמה תצפית מבדילה. כך גם לגבי רשימת שפות במדינה אחת ויציאה באחרת: לא הוכחה לשום דבר, רק צירוף שבולט. WebRTC הוא היוצא מן הכלל בטבלה: עמוד שפותח ערוץ מדיה או נתונים יכול לאסוף כתובות מועמדות, וכשהמנהרה פעילה מועמד עשוי לשאת את כתובת היציאה או, בלי הגנה מדליפה, עדיין להציע את הכתובת המקומית שלכם.
שלב 3: לקרוא בדיקת טביעת אצבע לפי מה שהיא מדווחת
Cover Your Tracks של EFF היא העצירה הראשונה המקובלת. היא מציגה מאפיינים שהדפדפן שלכם חושף לאותו עמוד ונותנת פסק דין על כמה דפדפנים במדגם שלה חולקים אותם. קראו את האותיות הקטנות: המדגם הוא האנשים שעשו את הבדיקה, האותות הם אלה שאותו עמוד בחר לאסוף, ופסק הדין הוא אומדן של סיבי אנטרופיה, לא מפקד אוכלוסין.
אז «הדפדפן שלכם ייחודי» פירושו ייחודי בתוך מערך הנתונים ההוא, היום, עם מערך הגשושים ההוא. זה לא אומר שאתר יכול להסיק את שמכם, וזה לא מאפיין קבוע — עדכון דפדפן יכול להזיז את הערך בלי שתגעו בדבר.
השתמשו בבדיקה כמכשיר מדידה, לא כציון שמייעלים. רשמו את הערכים המדווחים, שנו דבר אחד והשוו את אותם שדות. אם שום דבר לא השתנה בדפדפן והקריאות בכל זאת זזו, השינוי היה רעש במדגם, לא בכם.
שלב 4: לשנות את המאפיינים שהם באמת שלכם
עכשיו אתם יכולים לפעול על שורות מסוימות. רשימת השפות, אזור הזמן והפורמטים האזוריים הם הגדרות, ויישור שלהם למקום שאתם טוענים שאתם נמצאים בו הוא התנהגות עקבית ולא תחבולה. פרופיל דפדפן נפרד לכל הקשר שומר על נתוני האתר והכניסות בנפרד, מה שמטפל בזיהוי משלב 1 בצורה אמינה יותר מכל תוסף נגד טביעת אצבע.
היו זהירים עם העצה הקלאסית להוסיף תוספי חיזוק. כל אחד משנה את פני השטח הניתנים לתצפית שלכם, וקבוצת הגדרות חריגות יכולה להפוך אתכם לנדירים יותר במקום לרגילים יותר. חלקם חוסמים API שעמודים יכולים לזהות כחסר; אחרים משאירים חתימה מטולאת ייחודית. הפופולריות של תוסף אינה הוכחה שהוא מפחית את יכולת הזיהוי.
דפדפנים שלוקחים את זה ברצינות עושים משהו שונה מבחינה מבנית: הם מתקננים. Tor Browser שואף שכל משתמש ידווח את אותם ערכים, Firefox מגיע עם מצב הגנה שמדווח ערכים מתוקננים מקבוצה קטנה במקום את הערכים האמיתיים שלכם, ו-Safari מגביל מה אתרים יכולים לקרוא. זו החלטת עיצוב שמיושמת בעקביות, וההנחיות ב וכן ההנחיות של W3C לטביעות אצבע מסבירות מדוע תקנון עדיף על אקראיות לכל משתמש בבעיה הזו.
שלב 5: להחליט איזה שכבה באמת הייתם צריכים
שלושה דברים נפרדים נארזים לתוך «הסתר אותי»: נתיב הרשת, פני השטח הניתנים לתצפית של הדפדפן והחשבונות שלכם. VPN מטפל בראשון. הוא לא נוגע בשני, והוא לא יכול לעזור בשלישי — כניסה היא המזהה הישיר ביותר שקיים, והיא שורדת כל שינוי יציאה.
אם המטרה שלכם היא שאתר לא יוכל לומר ששני ביקורים קשורים, אתם צריכים גם את שכבת הדפדפן: פרופיל נקי לכל הקשר, הגדרות עקביות ובלי כניסה משותפת. אם המטרה שלכם היא שהאתר לא יוכל לומר מי אתם בכלל, זהו מודל איומים שבו Tor Browser, שמאחד ניתוב עם תקנון ברמת הדפדפן, הוא הבחירה העקבית ולא דפדפן רגיל מאחורי מנהרה.
אם המטרה שלכם היא רק שהאתר יראה עיר אחרת וספק האינטרנט שלכם לא יראה דבר, המנהרה לבדה באמת מספיקה, ותוצאת בדיקת טביעת האצבע לא רלוונטית למטרה הזו. רוב האכזבה כאן מגיעה מלקנות שכבה אחת ולצפות לשלוש.
סדר ששומר על השלבים ישרים:
- שחזרו את הזיהוי עם פרופיל נקי ובלי כניסה לפני שאתם מאשימים את המנהרה.
- אשרו שכתובת היציאה השתנתה, ואז ציינו אילו ערכי דפדפן לא השתנו.
- השוו את אותם שדות בדיקה לפני ואחרי שינוי אחד, לא את ציון הכותרת.
- תקנו אזור זמן ושפה שיתאימו לסיפור שלכם לפני שתוסיפו תוסף כלשהו.
- בחרו את השכבה שמתאימה למטרה: רשת, פני השטח של הדפדפן או חשבונות.