Una VPN cambia l'impronta del browser? Cosa verificare per primo

Cambi la VPN su un altro paese, ricarichi il negozio, e continua a salutarti per nome con lo stesso carrello. È il momento in cui la parola impronta entra di solito nella conversazione, spesso seguita da un sito di test che sostiene che il tuo browser è uno su un milione. Meglio affrontare il problema in ordine: per le normali richieste di pagina il tunnel cambia esattamente un campo, il browser continua a riportarne decine, e il test misura qualcosa di più stretto di quanto sembri. Cinque passaggi separano queste tre cose.

Passo 1: escludi i motivi noiosi per cui sei stato riconosciuto

Inizia disconnesso. Apri una finestra privata, visita la stessa pagina e guarda se si comporta ancora come se ti conoscesse. I cookie, l'archiviazione locale e una sessione attiva spiegano la maggior parte delle segnalazioni «mi ha visto attraverso la VPN», e nessuna di esse è un'impronta.

Se la pagina riconosce ancora qualcosa in una finestra privata, guarda lo stato visibile che ti sei portato dietro: lo stesso account in un'altra scheda, una voce di modulo salvata, un gestore di password che compila il tuo indirizzo, o un sito che hai autorizzato con un token nell'URL. Ognuno è un riferimento salvato, e cancellare il profilo lo rimuove.

Solo quando un profilo pulito senza sessione produce ancora un riconoscimento correlato a visite precedenti vale la pena parlare di impronta. È un'affermazione molto più stretta di «la VPN non funziona», ed è quella che puoi davvero testare.

Passo 2: cambia l'uscita e elenca cosa non è cambiato

Attiva il tunnel, poi controlla l'unico valore che il tunnel deve spostare: l'indirizzo che vede un server. Qualsiasi pagina di ricerca dell'indirizzo lo mostra, oppure leggilo da un endpoint che controlli con curl -s https://your-endpoint.example/ip. Qualsiasi servizio di eco che usi vede la richiesta, quindi un endpoint tuo la tiene fuori dal registro di qualcun altro. Conferma che è cambiato. Ora la parte interessante: elenca cosa il browser riporta ancora di sé, perché quasi nulla di tutto ciò viaggia nell'intestazione del pacchetto.

La riga del fuso orario è quella su cui vale la pena soffermarsi. Si legge dal sistema operativo, quindi un tunnel che sposta il traffico in un altro continente mentre l'orologio dice ancora la tua città produce una discrepanza che è di per sé un'osservazione distintiva. Lo stesso vale per una lista di lingue in un paese e un'uscita in un altro: non è prova di nulla, solo una combinazione che spicca. WebRTC è l'eccezione nella tabella: una pagina che apre un canale media o dati può raccogliere indirizzi candidati, e con il tunnel attivo un candidato può portare l'indirizzo di uscita oppure, senza protezione dalle perdite, offrire ancora quello locale.

Passo 3: leggi un test di impronta per ciò che riporta

Cover Your Tracks di EFF è la prima tappa abituale. Mostra le caratteristiche che il tuo browser espone a quella pagina e dà un verdetto su quanti browser del suo campione le condividono. Leggi le note piccole: il campione sono le persone che hanno fatto il test, i segnali sono quelli che quella pagina ha scelto di raccogliere, e il verdetto è una stima di bit di entropia, non un censimento.

Quindi «il tuo browser è unico» significa unico dentro quel set di dati, oggi, con quel set di sonde. Non significa che un sito possa ricavare il tuo nome, e non è una proprietà permanente: un aggiornamento del browser può spostare il valore senza che tu tocchi nulla.

Usa il test come strumento di misura, non come un punteggio da ottimizzare. Annota i valori riportati, cambia una cosa e confronta gli stessi campi. Se nel browser non è cambiato nulla e le letture si sono mosse comunque, il cambiamento era rumore nel campione, non in te.

Passo 4: cambia le caratteristiche che sono davvero tue

Ora puoi agire su righe specifiche. La lista delle lingue, il fuso orario e i formati regionali sono impostazioni, e allinearli al luogo in cui dichiari di essere è un comportamento coerente, non un trucco. Un profilo del browser separato per contesto tiene separati i dati del sito e gli accessi, il che affronta il riconoscimento del passo 1 in modo più affidabile di qualsiasi estensione anti-impronta.

Vai con cautela con il consiglio classico di aggiungere estensioni di irrobustimento. Ognuna cambia la tua superficie osservabile, e un insieme di impostazioni inusuali può renderti più raro invece che più comune. Alcune bloccano un'API che le pagine possono rilevare come mancante; altre lasciano una firma patchata distintiva. La popolarità di un'estensione non è prova che riduca l'identificabilità.

I browser che prendono la cosa sul serio fanno qualcosa di strutturalmente diverso: standardizzano. Tor Browser punta a far riportare a ogni utente gli stessi valori, Firefox include una modalità di protezione che riporta valori standardizzati da un piccolo insieme invece dei tuoi reali, e Safari limita ciò che i siti possono leggere. È una decisione di progetto applicata con coerenza, e le indicazioni della guida W3C sulle impronte spiegano perché la standardizzazione batte la randomizzazione per utente su questo problema.

Passo 5: decidi di quale livello avevi davvero bisogno

Tre cose separate finiscono in «nascondimi»: il percorso di rete, la superficie osservabile del browser e i tuoi account. Una VPN si occupa della prima. Non tocca la seconda e non può aiutare con la terza: l'accesso è l'identificatore più diretto che esista, e sopravvive a ogni cambio di uscita.

Se il tuo obiettivo è che un sito non possa dire che due visite sono collegate, ti serve anche il livello browser: un profilo pulito per contesto, impostazioni coerenti e nessun accesso condiviso. Se il tuo obiettivo è che il sito non possa dire affatto chi sei, quello è un modello di minaccia in cui Tor Browser, che unisce l'instradamento alla standardizzazione a livello di browser, è la scelta coerente invece di un browser normale dietro un tunnel.

Se il tuo obiettivo è solo che il sito veda un'altra città e che il tuo provider non veda nulla, il tunnel da solo è davvero sufficiente, e il risultato del test di impronta è irrilevante per quell'obiettivo. La maggior parte della delusione qui viene dal comprare un livello e aspettarsene tre.

Un ordine che tiene onesti i passaggi:

• Riproduci il riconoscimento con un profilo pulito e senza accesso prima di dare la colpa al tunnel.
• Conferma che l'indirizzo di uscita è cambiato, poi annota quali valori del browser no.
• Confronta gli stessi campi di test prima e dopo un singolo cambiamento, non il punteggio principale.
• Sistema fuso orario e lingua perché corrispondano alla tua storia prima di aggiungere qualsiasi estensione.
• Scegli il livello che corrisponde all'obiettivo: rete, superficie del browser o account.