क्या VPN आपके ब्राउज़र की फ़िंगरप्रिंट बदलता है? पहले क्या जाँचें
VPN आपका एग्ज़िट पता बदलता है और सामान्य पेज अनुरोधों में लगभग कुछ और नहीं। पाँच चरणों से गुज़रें और देखें कि ब्राउज़र के कौन-से मान सचमुच बदलते हैं।
आप VPN को दूसरे देश में ले जाते हैं, दुकान को फिर से लोड करते हैं, और वह अब भी आपका नाम लेकर उसी टोकरी के साथ स्वागत करता है। यही वह क्षण है जब बातचीत में फ़िंगरप्रिंट शब्द आता है, और अक्सर उसके बाद एक परीक्षण साइट आती है जो दावा करती है कि आपका ब्राउज़र दस लाख में एक है। इसके बजाय समस्या को क्रम से सुलझाएँ: सामान्य पेज अनुरोधों में टनल ठीक एक फ़ील्ड बदलती है, ब्राउज़र अब भी दर्जनों की रिपोर्ट करता है, और परीक्षण सुनने में जितना लगता है उससे कहीं संकरा कुछ मापता है। पाँच चरण उन तीन चीज़ों को अलग करते हैं।
चरण 1: आपको पहचाने जाने के उबाऊ कारणों को बाहर करें
साइन आउट होकर शुरू करें। निजी विंडो खोलें, वही पेज देखें और देखें कि क्या वह अब भी आपको जानने जैसा व्यवहार करता है। कुकीज़, स्थानीय स्टोरेज और एक सक्रिय सत्र अधिकांश «इसने मुझे VPN से देखा» रिपोर्टों की व्याख्या करते हैं, और इनमें से कोई भी फ़िंगरप्रिंटिंग नहीं है।
अगर निजी विंडो में भी पेज कुछ पहचानता है, तो आपके साथ लाए दृश्यमान स्थिति को देखें: किसी अन्य टैब में वही खाता, सहेजी गई फ़ॉर्म प्रविष्टि, आपका पता भरने वाला पासवर्ड मैनेजर, या कोई साइट जिसे आपने URL में टोकन के साथ अधिकृत किया। हर एक सहेजा हुआ संदर्भ है, और प्रोफ़ाइल साफ़ करने से वह हट जाता है।
केवल तब फ़िंगरप्रिंट की बात करना उचित है जब सत्र-रहित साफ़ प्रोफ़ाइल भी पहले के विज़िट से जुड़ी पहचान पैदा करे। यह «VPN काम नहीं करता» से कहीं अधिक संकरा दावा है, और यही वह है जिसे आप वास्तव में जाँच सकते हैं।
चरण 2: एग्ज़िट बदलें और सूची बनाएँ कि क्या नहीं बदला
टनल चालू करें, फिर उस एकमात्र मान को जाँचें जिसे टनल को बदलना चाहिए: वह पता जो सर्वर देखता है। कोई भी पता-खोज पेज उसे दिखाता है, या उसे अपने नियंत्रण वाले एंडपॉइंट से इसके साथ पढ़ें: curl -s https://your-endpoint.example/ip। आप जो भी इको सेवा उपयोग करते हैं, वह अनुरोध देखती है, इसलिए आपका अपना एंडपॉइंट उसे किसी और के लॉग से बाहर रखता है। पुष्टि करें कि वह बदल गया है। अब रोचक भाग — सूची बनाएँ कि ब्राउज़र अब भी अपने बारे में क्या रिपोर्ट करता है, क्योंकि इसमें से लगभग कुछ भी पैकेट हेडर में यात्रा नहीं करता।
| What a page can read | Changed by the VPN? | Where it comes from |
|---|---|---|
| Public source address | Yes | The tunnel's exit |
| WebRTC candidate addresses | Sometimes | Browser network stack and leak protection |
| User agent string | No | Browser build and platform |
| Language preference list | No | Browser and OS settings |
| Timezone offset | No | The operating system clock |
| Screen size, colour depth, pixel ratio | No | Display and window state |
| Installed fonts, canvas and WebGL output | No | Rendering stack and GPU |
| Accept-Language, client hints | No | Browser configuration |
समय क्षेत्र की पंक्ति वह है जहाँ रुकना बनता है। यह ऑपरेटिंग सिस्टम से पढ़ी जाती है, इसलिए जो टनल आपका ट्रैफ़िक दूसरे महाद्वीप पर ले जाती है जबकि घड़ी अब भी आपका गृह नगर कहती है, वह ऐसी असंगति पैदा करती है जो स्वयं एक विशिष्ट अवलोकन है। यही बात एक देश में भाषा-सूची और दूसरे देश में एग्ज़िट पर भी लागू होती है: किसी चीज़ का प्रमाण नहीं, बस एक ऐसा संयोजन जो अलग दिखता है। WebRTC तालिका में अपवाद है: मीडिया या डेटा चैनल खोलने वाला पेज उम्मीदवार पते इकट्ठा कर सकता है, और टनल चालू होने पर कोई उम्मीदवार एग्ज़िट पता ले जा सकता है या लीक सुरक्षा के बिना अब भी आपका स्थानीय पता दे सकता है।
चरण 3: फ़िंगरप्रिंट परीक्षण को इस आधार पर पढ़ें कि वह क्या रिपोर्ट करता है
EFF का Cover Your Tracks सामान्य पहला पड़ाव है। यह वे विशेषताएँ दिखाता है जो आपका ब्राउज़र उस पेज को दिखाता है, और इस पर फ़ैसला देता है कि उसके नमूने में कितने ब्राउज़र उन्हें साझा करते हैं। छोटा प्रिंट पढ़ें: नमूना वे लोग हैं जिन्होंने परीक्षण किया, संकेत वे हैं जिन्हें उस पेज ने इकट्ठा करना चुना, और फ़ैसला एंट्रॉपी बिट्स का अनुमान है, जनगणना नहीं।
इसलिए «आपका ब्राउज़र अनूठा है» का अर्थ उस डेटासेट के भीतर, आज, उस प्रोब सेट के साथ अनूठा है। इसका अर्थ यह नहीं कि कोई साइट आपका नाम निकाल सकती है, और यह स्थायी गुण नहीं है — ब्राउज़र अपडेट आपके कुछ छुए बिना मान बदल सकता है।
परीक्षण को मापक यंत्र की तरह उपयोग करें, अनुकूलन के स्कोर की तरह नहीं। रिपोर्ट किए गए मान लिखें, एक चीज़ बदलें और वही फ़ील्ड तुलना करें। अगर ब्राउज़र में कुछ नहीं बदला और रीडिंग फिर भी खिसकी, तो बदलाव नमूने का शोर था, आपका नहीं।
चरण 4: उन विशेषताओं को बदलें जो वास्तव में आपकी हैं
अब आप विशिष्ट पंक्तियों पर काम कर सकते हैं। भाषा-सूची, समय क्षेत्र और क्षेत्रीय फ़ॉर्मेट सेटिंग्स हैं, और उन्हें उस जगह से मिलाना जहाँ आप खुद को बताते हैं, चाल नहीं बल्कि सुसंगत व्यवहार है। हर संदर्भ के लिए अलग ब्राउज़र प्रोफ़ाइल साइट डेटा और लॉगिन अलग रखती है, जो चरण 1 की पहचान को किसी भी एंटी-फ़िंगरप्रिंटिंग एक्सटेंशन से अधिक भरोसेमंद ढंग से सुलझाती है।
हार्डनिंग एक्सटेंशन जोड़ने की पुरानी सलाह के साथ सावधान रहें। हर एक आपकी देखी जा सकने वाली सतह बदलती है, और असामान्य सेटिंग्स का समूह आपको आम से ज़्यादा दुर्लभ बना सकता है। कुछ ऐसी API को ब्लॉक करते हैं जिसे पेज अनुपस्थित पहचान सकते हैं; दूसरे एक विशिष्ट पैच्ड हस्ताक्षर छोड़ जाते हैं। किसी एक्सटेंशन की लोकप्रियता इस बात का प्रमाण नहीं कि वह पहचान-योग्यता घटाता है।
जो ब्राउज़र इसे गंभीरता से लेते हैं वे संरचनात्मक रूप से कुछ अलग करते हैं: वे मानकीकरण करते हैं। Tor Browser का लक्ष्य है कि हर उपयोगकर्ता वही मान रिपोर्ट करे, Firefox में एक सुरक्षा मोड आता है जो आपके असली मानों के बजाय छोटे समूह से मानकीकृत मान रिपोर्ट करता है, और Safari सीमित करता है कि साइटें क्या पढ़ सकती हैं। यह एक डिज़ाइन निर्णय है जो लगातार लागू होता है, और W3C की फ़िंगरप्रिंटिंग मार्गदर्शिका में मार्गदर्शन बताता है कि इस समस्या के लिए मानकीकरण प्रति-उपयोगकर्ता यादृच्छिकता से क्यों बेहतर है।
चरण 5: तय करें कि आपको वास्तव में कौन-सी परत चाहिए थी
तीन अलग चीज़ें «मुझे छिपाओ» में बंध जाती हैं: नेटवर्क पथ, ब्राउज़र की देखी जा सकने वाली सतह और आपके खाते। VPN पहली को संबोधित करता है। वह दूसरी को नहीं छूता, और तीसरी में मदद नहीं कर सकता — लॉगिन सबसे सीधा पहचानकर्ता है, और वह हर एग्ज़िट बदलाव से बच निकलता है।
अगर आपका लक्ष्य यह है कि साइट यह न कह सके कि दो विज़िट संबंधित हैं, तो आपको ब्राउज़र परत भी चाहिए: हर संदर्भ के लिए साफ़ प्रोफ़ाइल, सुसंगत सेटिंग्स और कोई साझा लॉगिन नहीं। अगर आपका लक्ष्य यह है कि साइट बिल्कुल भी यह न कह सके कि आप कौन हैं, तो यह एक ख़तरा मॉडल है जिसमें Tor Browser, जो रूटिंग को ब्राउज़र-स्तरीय मानकीकरण के साथ जोड़ता है, सुसंगत विकल्प है, टनल के पीछे सामान्य ब्राउज़र नहीं।
अगर आपका लक्ष्य केवल यह है कि साइट दूसरा शहर देखे और आपका ISP कुछ न देखे, तो अकेली टनल सचमुच पर्याप्त है, और फ़िंगरप्रिंट परीक्षण का परिणाम उस लक्ष्य के लिए अप्रासंगिक है। यहाँ ज़्यादातर निराशा एक परत खरीदकर तीन की अपेक्षा करने से आती है।
एक क्रम जो चरणों को ईमानदार रखता है:
- टनल को दोष देने से पहले साफ़ प्रोफ़ाइल और बिना लॉगिन के पहचान दोबारा पैदा करें।
- पुष्टि करें कि एग्ज़िट पता बदला है, फिर नोट करें कि कौन-से ब्राउज़र मान नहीं बदले।
- शीर्षक स्कोर नहीं, वही परीक्षण फ़ील्ड एक बदलाव से पहले और बाद में तुलना करें।
- कोई भी एक्सटेंशन जोड़ने से पहले समय क्षेत्र और भाषा को अपनी कहानी से मिलाएँ।
- लक्ष्य से मेल खाती परत चुनें: नेटवर्क, ब्राउज़र सतह या खाते।