Megváltoztatja a VPN a böngészője ujjlenyomatát? Mit érdemes először tesztelni

Átváltja a VPN-t egy másik országra, újratölti a boltot, és az még mindig a nevén köszönti, ugyanazzal a kosárral. Ebben a pillanatban kerül elő általában az ujjlenyomat szó, gyakran egy olyan teszthely követi, amely azt állítja, hogy a böngészője egymillióból egy. Inkább sorrendben oldja meg a problémát: a szokásos oldalkéréseknél az alagút pontosan egy mezőt változtat meg, a böngésző továbbra is tucatnyit jelent, és a teszt valami szűkebbet mér annál, mint amilyennek hangzik. Öt lépés választja el ezt a három dolgot.

1. lépés: zárja ki az unalmas okokat, amiért felismerték

Kijelentkezve kezdje. Nyisson privát ablakot, látogasson el ugyanarra az oldalra, és nézze meg, hogy viselkedik-e még úgy, mintha ismerné. A sütik, a helyi tároló és egy élő munkamenet magyarázza a „látta rajtam a VPN-t” jelentések többségét, és egyik sem ujjlenyomat.

Ha az oldal privát ablakban is felismer valamit, nézze meg a magával hozott látható állapotot: ugyanaz a fiók egy másik lapon, egy mentett űrlapbejegyzés, egy jelszókezelő, amely kitölti a címét, vagy egy oldal, amelyet tokennal engedélyezett az URL-ben. Mindegyik tárolt hivatkozás, és a profil törlése eltávolítja.

Csak akkor érdemes ujjlenyomatról beszélni, ha egy munkamenet nélküli tiszta profil még mindig olyan felismerést produkál, amely korrelál a korábbi látogatásokkal. Ez sokkal szűkebb állítás, mint hogy „a VPN nem működik”, és ezt tudja valóban tesztelni.

2. lépés: változtassa meg a kilépést, és listázza, mi nem változott

Hozza fel az alagutat, majd ellenőrizze az egyetlen értéket, amelyet az alagútnak mozgatnia kell: a címet, amelyet a kiszolgáló lát. Bármelyik címkereső oldal mutatja, vagy olvassa ki egy általa vezérelt végpontból ezzel: curl -s https://your-endpoint.example/ip. Bármely visszhangszolgáltatás látja a kérést, ezért a saját végpontja távol tartja mások naplójától. Erősítse meg, hogy megváltozott. Most az érdekes rész — listázza, mit jelent még a böngésző magáról, mert ennek szinte semmi nem utazik a csomagfejlécben.

Az időzóna sor az, amelynél érdemes megállni. Ezt az operációs rendszerből olvassa, ezért egy alagút, amely más kontinensre viszi a forgalmát, miközben az óra még a hazai városát mondja, olyan ellentmondást hoz létre, amely önmagában is megkülönböztető megfigyelés. Ugyanez igaz arra, ha a nyelvlista az egyik országban van, a kilépés pedig a másikban: semminek nem bizonyíték, csak egy feltűnő kombináció. A WebRTC a kivétel a táblázatban: egy oldal, amely média- vagy adatcsatornát nyit, jelöltcímeket gyűjthet, és az alagút fennállása alatt egy jelölt hordozhatja a kilépési címet, vagy szivárgásvédelem nélkül még mindig a helyi címét kínálja.

3. lépés: az ujjlenyomat-tesztet aszerint olvassa, mit jelent

Az EFF Cover Your Tracks eszköze a szokásos első állomás. Megmutatja azokat a jellemzőket, amelyeket a böngészője feltár az adott oldalnak, és ítéletet mond arról, hogy a mintájában hány böngésző osztozik rajtuk. Olvassa el az apró betűt: a minta azok az emberek, akik elvégezték a tesztet, a jelek azok, amelyeket az adott oldal gyűjteni választott, és az ítélet entrópiabitek becslése, nem népszámlálás.

Tehát „a böngészője egyedi” azt jelenti, hogy egyedi abban az adathalmazban, ma, azzal a szondakészlettel. Ez nem jelenti, hogy egy oldal kitalálhatja a nevét, és nem állandó tulajdonság — egy böngészőfrissítés elmozdíthatja az értéket anélkül, hogy bármihez hozzányúlna.

Használja a tesztet mérőeszközként, ne optimalizálandó pontszámként. Jegyezze fel a jelentett értékeket, változtasson meg egy dolgot, és hasonlítsa össze ugyanazokat a mezőket. Ha a böngészőben semmi nem változott, és a leolvasások mégis elmozdultak, a változás a minta zaja volt, nem ön.

4. lépés: változtassa meg a jellemzőket, amelyek valóban az önéi

Most már konkrét sorokon cselekedhet. A nyelvlista, az időzóna és a regionális formátumok beállítások, és ezeket ahhoz a helyhez igazítani, ahol állítása szerint van, következetes viselkedés, nem trükk. A kontextusonként külön böngészőprofil távol tartja egymástól az oldal adatait és a bejelentkezéseket, ami az 1. lépés felismerését megbízhatóbban kezeli, mint bármelyik ujjlenyomat-ellenes kiterjesztés.

Óvatosan bánjon a klasszikus tanáccsal, hogy erősítő kiterjesztéseket adjon hozzá. Mindegyik megváltoztatja a megfigyelhető felületét, és egy szokatlan beállításcsoport ritkábbá teheti, nem hétköznapibbá. Némelyik blokkol egy API-t, amelyet az oldalak hiányzóként észlelhetnek; mások jellegzetes foltozott aláírást hagynak. Egy kiterjesztés népszerűsége nem bizonyíték arra, hogy csökkenti az azonosíthatóságot.

Azok a böngészők, amelyek komolyan veszik ezt, szerkezetileg mást tesznek: szabványosítanak. A Tor Browser arra törekszik, hogy minden felhasználó ugyanazokat az értékeket jelentse, a Firefox olyan védelmi módot kínál, amely a valódi értékek helyett egy kis halmazból származó szabványosított értékeket jelent, a Safari pedig korlátozza, mit olvashatnak az oldalak. Ez egy következetesen alkalmazott tervezési döntés, és a W3C ujjlenyomat-irányelvei megmagyarázzák, miért jobb a szabványosítás, mint a felhasználónkénti véletlenítés ennél a problémánál.

5. lépés: döntse el, melyik rétegre volt valójában szüksége

Három külön dolgot csomagolnak a „rejts el” kifejezésbe: a hálózati útvonalat, a böngésző megfigyelhető felületét és a fiókjait. A VPN az elsővel foglalkozik. Nem nyúl a másodikhoz, és a harmadikon nem segíthet — a bejelentkezés a legközvetlenebb azonosító, ami létezik, és minden kilépésváltozást túlél.

Ha a célja az, hogy egy oldal ne tudja megállapítani, hogy két látogatás összefügg, a böngészőrétegre is szüksége van: kontextusonként tiszta profil, következetes beállítások és közös bejelentkezés nélkül. Ha a célja az, hogy az oldal egyáltalán ne tudja megállapítani, ki ön, az olyan fenyegetésmodell, amelyben a Tor Browser, amely az útválasztást böngészőszintű szabványosítással egyesíti, a következetes választás, nem egy hétköznapi böngésző az alagút mögött.

Ha a célja csak az, hogy az oldal másik várost lásson, és a szolgáltatója semmit ne lásson, az alagút önmagában valóban elég, és az ujjlenyomat-teszt eredménye irreleváns ehhez a célhoz. A legtöbb csalódás innen abból fakad, hogy egy réteget vásárolnak, és hármat várnak.

Egy sorrend, amely becsületessé teszi a lépéseket:

• Reprodukálja a felismerést tiszta profillal és bejelentkezés nélkül, mielőtt az alagutat hibáztatja.
• Erősítse meg, hogy a kilépési cím megváltozott, majd jegyezze fel, mely böngészőértékek nem.
• Hasonlítsa össze ugyanazokat a tesztmezőket egyetlen változtatás előtt és után, ne a fő pontszámot.
• Javítsa az időzónát és a nyelvet, hogy passzoljanak a történetéhez, mielőtt bármilyen kiterjesztést hozzáad.
• Válassza azt a réteget, amely a céljához illik: hálózat, böngészőfelület vagy fiókok.