Blokkar síðan þig aðeins með VPN á? Þetta er það sem hún sér

Búðin hleðst vel heima og sýnir vegg af «óvenjulegri umferð» um leið og göngin fara upp. Vettvangur neitar að skrá þig inn, og streymisíða fullyrðir að þú sért í landi sem þú hefur aldrei heimsótt. Ekkert af þessu krefst njósnaforrits. Síða sér addressuna sem pakkarnir þínir koma frá, og með VPN tilheyrir sú addressa gagnaveri frekar en heimalínu. Stærsti hluti þess sem kallast VPN-greining byrjar og endar á þeirri einu staðreynd, og restin er ályktun með fyrirsjáanlegri villutíðni.

Blokkin byrjar á því hvaðan pakkarnir þínir virðast koma

Sérhver beiðni ber upprunaddressu, og viðtakandi þjónn getur flett henni í opinberum gögnum: hvaða net tilkynnir hana, hvort það net er hýsingaraðili, hvort það hefur birst á misnotkunalistum og hvaða land skráin úthlutar. Ekkert af þessu auðkennir þig, og allt saman er nóg til að setja þig í flokk.

Skoðaðu eigin umferð eins og ókunnugur myndi gera. Tvær skipanir ná yfir stærstan hluta yfirborðsins, og sú seinni er sú sem fólk gleymir:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Fyrri skilar útgangsaddressunni, fyrirtækinu og landinu. Seinni skilar addressu resolversins sem náði nafnaþjóni Google; hún tilheyrir oft öðru neti en útgangurinn þinn, og er addressan sem síða sér ef hún skráir gögn á resolverhlið. Þegar þessar tvær tilheyra mismunandi löndum, telja sumar síður misræmið grunsamlegt þótt ekkert sé athugavert við uppsetninguna þína.

Þegar synjunin byrjar aðeins eftir að göngin fara upp, grunaðu útgangsaddressuna fyrst. Skiptu um þjón og reyndu aftur áður en þú snertir vafrann. Blokk sem fylgir þér í gegnum þrjá útgangs frá sama veitanda snýr að sviðum veitandans; blokk sem hverfur á öðrum þjóni snýr að þeirri einu addressu.

Tímabeltið, tungumálið og klukkan passa ekki við addressuna

Síðukóðinn getur lesið tímabeltið þitt, tungumálaval þitt og skjástillingar án nokkurrar leyfisbeiðni. Vafri sem tilkynnir Mið-Evróputíma á meðan tengingin kemur frá gagnaveri í Singapúr er sterkara merki en addressan ein, og það er einmitt slíkt misræmi sem svikastigun er byggð til að taka eftir.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Þessar þrjár línur í forritarastýriborðinu segja þér hvað vafrinn þinn gefur sjálfviljugur. VPN-biðlari getur breytt leiðinni þinni og engu öðru, þannig að prófíllinn sem þú berð verður áfram innlendur á meðan útgangurinn þinn er það ekki. Samkvæmni er það sem skiptir máli hér: fartölva stillt á sama svæði og útgangurinn virðist venjuleg, og sú sem stangast á við sjálfa sig ekki.

Þess vegna er bilunin tilfallandi. Margar síður eru sama, fáeinar stiga hana, og ein félagssíða ákveður að þú sért svikari. Biðlarinn virkar rétt í öllum þremur tilvikunum, og þess vegna er venjulega svarið frá stuðningi, «það hlýtur að vera vafrinn þinn», bæði pirrandi og að hluta satt.

Hvað síðukóðinn veit í raun um vélina þína

JavaScript hefur ekkert API sem telur upp netviðmót. Síða getur ekki spurt hvaða addressur fartölvan þín hefur, svo gamla fullyrðingin um að skrift lesi LAN-addressuna þína er að mestu minning frá viðbótartímabilinu, þegar ActiveX-stýringar, Java-applets og annar innfæddur kóði gátu gert einmitt það.

WebRTC er heiðarleg undantekningin frá «engin leki á staðbundnum addressum». Söfnun frambjóðenda þess afhjúpaði einu sinni staðbundnar addressur fyrir hverri síðu sem bað um það, og lagfæringin var að skipta út hýsisframbjóðendum fyrir handahófskennd mDNS-nöfn. Það sjálfgefið gildir í núverandi vafrum, en það er ákvörðun vafrans frekar en ábyrgð samskiptareglunnar, svo úrelt bygging eða hert stilling sem virkjar staðbundna frambjóðendur að nýju getur enn lekið. Að uppfæra vafrann hjálpar þér meira hér en nokkur viðbót.

Veitandinn þinn sér nöfnin, ekki innihaldið

HTTPS verndar innihald síðu frá enda til enda, og rekstraraðili ganganna sem sendir þessi bæti getur ekki lesið þau. Rekstraraðilinn getur samt séð hvaða addressu þú hafðir samband við, og í flestum uppsetningum þjónsnafnið í handabandinu, því nafnið verður að vera læsilegt svo hægt sé að beina tengingunni á rétta síðu. Encrypted Client Hello er til einmitt til að fela það svið, og það hjálpar aðeins þegar bæði biðlarinn og síðan styðja það.

Nafnaupplausn er hinn helmingurinn. Ef veitandinn þinn útvegar líka resolverinn sér hann hvert nafn sem þú flettir upp áður en tenging verður til. Ef tækið þitt notar opinberan resolver yfir HTTPS sér veitandinn tengingu við þann resolver og ekkert annað, á meðan resolverinn sjálfur sér listann.

Ódulkóðuð HTTP-beiðni er læsileg fyrir rekstraraðilann af sömu ástæðu og hún er læsileg fyrir hótelnetið: ekkert í henni er dulkóðað. Göng hafa aldrei haldið öðru fram, og þau laga ekki val forritsins.

Aðskildu «þetta er VPN» frá «þetta er ég»

Greining er ódýr, líkindabundin og oft röng. Sameiginlegar útgangsaddressur eru merktar vegna þess að einhver annar misnotaði þær, fyrirtækjasvið eru flokkuð sem hýsing, og farsímafyrirtæki framleiða landfræðilegar niðurstöður sem koma öllum á óvart. Auðkenning er annað vandamál: hún þarf varanlegt tengsl eins og reikning sem þú skráðir þig inn á, vafraköku, greiðsluupplýsingar eða tvo athugendur sem bera saman minnispunkta.

Ákveddu við hvort þú ert í raun að berjast. Ef markmiðið er að lesa síðu, þá gerir HTTPS þá vinnu þegar og göngin breyta litlu. Ef markmiðið er að koma í veg fyrir að síðan viti í hvaða borg þú ert, skipta útgangurinn og resolverinn máli. Ef markmiðið er að rjúfa tengslin við raunverulega auðkenni þitt, er reikningurinn veiki punkturinn, og að skipta um þjóna gerir ekkert við innskráninguna sem þú notaðir rétt í þessu.

Nýr útgangur skráir þig út hvergi, og hann getur ekki eytt því sem síða hefur þegar geymt um reikninginn sem þú notaðir. Hagnýta röðin er því óglæsileg: veldu útgang þar sem netið virðist venjulegt, haltu vafraprófílnum samkvæmum honum, uppfærðu vafrann svo lekalegir eiginleikar noti nútímaleg sjálfgefin gildi, og samþykktu að lítill fjöldi síðna muni samt giska rangt á þig.