Csak bekapcsolt VPN-nel blokkol az oldal? Ezt látja

A bolt otthon simán betöltődik, és az «szokatlan forgalom» falát mutatja abban a pillanatban, amikor az alagút feláll. Egy fórum nem engedi bejelentkezni, egy streaming oldal pedig azt állítja, hogy olyan országban van, ahová soha nem utazott. Egyik sem igényel kémprogramot. Az oldal látja a címet, ahonnan a csomagjai érkeznek, és VPN-nel ez a cím adatközponthoz tartozik, nem otthoni vonalhoz. A VPN-észlelésnek nevezett dolog nagy része ezzel az egy ténnyel kezdődik és végződik, a többi pedig következtetés kiszámítható hibaaránnyal.

A blokk onnan indul, ahonnan a csomagjai látszólag érkeznek

Minden kérés forráscímet hordoz, és a fogadó szerver nyilvános adatokban megnézheti: melyik hálózat hirdeti, az a hálózat tárhelyszolgáltató-e, szerepelt-e visszaélési listákon, és melyik országot rendeli hozzá a nyilvántartás. Ezek egyike sem azonosítja önt, és együtt mégis elég ahhoz, hogy kategóriába sorolja.

Nézze meg a saját forgalmát úgy, ahogy egy idegen tenné. Két parancs lefedi a felület nagy részét, és a második az, amelyet az emberek elfelejtenek:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Az első visszaadja a kilépési címet, annak szervezetét és országát. A második annak a feloldónak a címét adja vissza, amely elérte a Google névszerverét; ez gyakran más hálózathoz tartozik, mint a kilépése, és ezt a címet látja az oldal, ha a feloldó oldalán naplóz adatokat. Ha ez a kettő különböző országokhoz tartozik, egyes oldalak gyanúsnak tartják az eltérést, pedig a beállításaival nincs semmi baj.

Ha az elutasítás csak az alagút felállása után kezdődik, először a kilépési címet gyanúsítsa. Váltson szervert, és próbálja újra, mielőtt a böngészőhöz nyúlna. Az a blokk, amely ugyanazon szolgáltató három kilépésén át követi, a szolgáltató tartományairól szól; az a blokk, amely egy másik szerveren eltűnik, arról az egy címről szól.

Az időzóna, a nyelv és az óra nem egyezik a címmel

Az oldal kódja engedélykérés nélkül olvassa be az időzónáját, a nyelvi beállításait és a képernyőbeállításait. Az a böngésző, amely közép-európai időt jelent, miközben a kapcsolat egy szingapúri adatközpontból érkezik, erősebb jel a címnél, és pontosan ilyen eltérés észlelésére épült a csalásszűrés.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Az a három sor a fejlesztői konzolban elárulja, mit ad meg a böngészője önként. A VPN-kliens csak az útvonalát tudja megváltoztatni, semmi mást, így a hordozott profil belföldi marad, miközben a kilépése nem az. Itt a következetesség számít: az a laptop, amely ugyanarra a régióra van állítva, mint a kilépés, hétköznapinak tűnik, az pedig, amely ellentmond önmagának, nem.

Ezért is szakaszos a hiba. Sok oldalt ez nem érdekel, néhány pontozza, egy tagsági oldal pedig úgy dönt, hogy ön csaló. A kliens mindhárom esetben helyesen működik, ezért a szokásos támogatási válasz, hogy «biztosan a böngészője a hibás», egyszerre idegesítő és részben igaz.

Mit tud valójában az oldal kódja a gépéről

A JavaScriptnek nincs olyan API-ja, amely felsorolná a hálózati interfészeket. Egy oldal nem kérdezheti meg, milyen címek vannak a laptopján, ezért az a régi állítás, hogy egy szkript kiolvassa a LAN-címét, főként a bővítmény-korszak emléke, amikor az ActiveX-vezérlők, a Java appletek és más natív kód pontosan erre voltak képesek.

A WebRTC az őszinte kivétel a «nincs helyi cím szivárgás» alól. Jelöltjeinek gyűjtése egykor minden kérdező oldalnak kiadta a helyi címeket, és a javítás az volt, hogy a gazdajelölteket véletlenszerű mDNS-nevekre cserélték. Ez az alapértelmezés a jelenlegi böngészőkben érvényes, de böngésződöntés, nem protokollgarancia, ezért egy elavult build vagy egy megerősített konfiguráció, amely újra engedélyezi a helyi jelölteket, még mindig szivároghat. A böngésző frissítése itt többet segít, mint bármely kiterjesztés.

A szolgáltatója a neveket látja, nem a tartalmat

A HTTPS végtől végig védi az oldal tartalmát, és az alagút üzemeltetője, aki továbbítja ezeket a bájtokat, nem tudja elolvasni őket. Az üzemeltető továbbra is látja, melyik címet kereste fel, és a legtöbb telepítésben a kézfogásban a szerver nevét is, mert a névnek olvashatónak kell lennie ahhoz, hogy a kapcsolat a megfelelő oldalra legyen irányítva. Az Encrypted Client Hello éppen ennek a mezőnek az elrejtésére létezik, és csak akkor segít, ha a kliens és az oldal is támogatja.

A névfeloldás a másik fél. Ha a szolgáltatója a feloldót is biztosítja, lát minden nevet, amelyet keres, mielőtt bármilyen kapcsolat létrejönne. Ha az eszköze nyilvános feloldót használ HTTPS-en, a szolgáltató egy kapcsolatot lát ahhoz a feloldóhoz és semmi mást, miközben maga a feloldó látja a listát.

A titkosítatlan HTTP-kérés olvasható az üzemeltető számára ugyanazért, amiért a szállodai hálózat számára is olvasható: semmi nincs benne titkosítva. Az alagút soha nem állított mást, és nem javítja az alkalmazás választását.

Válassza szét a «ez VPN» és a «ez én vagyok» esetét

Az észlelés olcsó, valószínűségi és gyakran téves. A megosztott kilépési címeket megjelölik, mert valaki más visszaélt velük, a vállalati tartományokat tárhelyként sorolják be, a mobil szolgáltatók pedig olyan földrajzi eredményeket adnak, amelyek mindenkit meglepnek. Az azonosítás más probléma: állandó kapcsolat kell hozzá, például egy fiók, amelybe bejelentkezett, egy süti, egy fizetési adat, vagy két megfigyelő, aki összeveti a jegyzeteit.

Döntse el, melyik ellen küzd valójában. Ha a cél egy oldal elolvasása, a HTTPS már elvégzi ezt, és az alagút keveset változtat. Ha a cél, hogy az oldal ne tudja, melyik városban van, a kilépés és a feloldó számít. Ha a cél a valódi személyazonosságához fűződő kapcsolat megszakítása, a fiók a gyenge pont, és a szerverváltás semmit sem tesz azzal a bejelentkezéssel, amelyet épp most használt.

Egy friss kilépés semmiből nem jelentkeztet ki, és nem tudja törölni azt, amit az oldal már eltárolt a használt fiókról. A gyakorlati sorrend ezért nem látványos: válasszon olyan kilépést, amelynek hálózata hétköznapinak tűnik, tartsa a böngészőprofilt ezzel összhangban, frissítse a böngészőt, hogy a szivárgásra hajlamos funkciók a modern alapértelmezéseiket használják, és fogadja el, hogy néhány oldal még mindig tévesen következtet önre.