La VPN è attiva, ma l’app sa ancora dove sei

Accendi la VPN, apri l’app, e mostra ancora la città in cui ti trovi. Niente è rotto. L’app riporta qualcosa che già sa invece di guardare il tuo traffico che esce dal tunnel. In quel risultato si nascondono due domande diverse, e confonderle manda le persone a reinstallare il client.

Che cosa ha ricevuto davvero l’app

Una posizione sullo schermo può arrivare da almeno quattro punti. Un rilevamento della posizione del dispositivo, una città approssimativa ricavata dal tuo indirizzo IP, un indirizzo salvato nel tuo account, o qualcosa che hai digitato in un modulo.

Il rilevamento della posizione del dispositivo è quello che la gente intende quando dice che l’app sa dove si trova. Su un telefono sono GPS, scansione Wi-Fi e dati cellulari combinati dal sistema; su un portatile di solito è una ricerca in un database Wi-Fi. Tutto arriva tramite un permesso che l’app ha chiesto e tu hai concesso. Il tunnel non c’entra mai.

I dati dell’account sono la fonte più subdola. Un’app di consegne che già memorizza il tuo indirizzo di casa non ha bisogno di un sensore per mostrartelo di nuovo.

Perché il tunnel non può coprire questo

Una VPN sostituisce l’indirizzo da cui sembra arrivare il tuo traffico. Non tocca il modello dei permessi, i sensori né la registrazione dell’account sul server. I dati che l’app raccoglie localmente e poi carica viaggiano dentro la connessione cifrata, ed è esattamente a questo che serve la connessione. Il server che li riceve apprende il contenuto perché l’app ha scelto di inviarlo.

Pensa a un nome digitato in un modulo. Il tunnel nasconde la busta, non la lettera.

Per questo un controllo dell’indirizzo nel browser può non concordare con un’app. Il browser riporta l’indirizzo di uscita; l’app riporta una lettura del sensore. Entrambe sono risposte corrette a domande diverse.

Permesso, diritto e ciò che la piattaforma consente

I controlli sulla posizione del Mac di Apple sono un riferimento utile perché spiegano da dove viene il numero: le app usano Location Services e il Mac stima la propria posizione dalle reti Wi-Fi vicine. La stessa pagina nota che app e siti web possono usare altri metodi anche quando Location Services è disattivato. Quella precisazione è tutta la storia in una riga.

Sui telefoni la divisione è simile. Un’app ha il permesso per la posizione o non ce l’ha, e la piattaforma decide cosa può leggere. Un client VPN non è un gestore di permessi e non può revocare il permesso di un’altra app.

Lingua, fuso orario e impostazioni locali sono segnali deboli da soli. Spostano dove un servizio indovina, non dove sei tu.

Come appare una fuga reale

Vale la pena separare le fughe reali, perché hanno sintomi diversi: il tuo indirizzo reale che emerge nella diagnostica della pagina stessa, query DNS risolte attraverso il tuo provider, traffico IPv6 che esce fuori dal tunnel, o una regola di tunnel diviso che esclude l’app che ti interessava. Quei difetti mostrano un host che non intendevi contattare, e cambiano quando spegni la VPN.

L’indizio è la direzione della sorpresa. Una fuga rivela chi sei a un estraneo, mentre un invio dall’app rivela ciò che l’app aveva già.

Prova il primo caso confrontando ciò che un sito riporta sul tuo indirizzo con ciò che il pannello della VPN dice sulla sessione connessa. Prova il secondo guardando ciò che contiene il profilo del tuo account.

Cosa controllare nei prossimi dieci minuti

Apri la voce dei permessi dell’app e leggi l’impostazione della posizione. Se è consentita e non vuoi che l’app abbia una posizione, passala ad approssimativa o nega il permesso, poi ricarica l’app perché smetta di usare un rilevamento in cache. Poi guarda l’indirizzo salvato e i campi di caricamento, perché revocare un permesso non cancella un valore che il server già detiene. Infine, controlla la lista dei tunnel divisi del client VPN per sapere quali app aggirano il tunnel.

Fai queste tre cose in ordine e l’ambiguità di solito si scioglie da sola.

Se la posizione sopravvive a tutto questo e il pannello della VPN mostra ancora una sessione sana, stai guardando dati salvati e non una fuga. Cambiare il paese di uscita non la sposterà. Eliminare il valore salvato, o il campo dell’account che l’ha prodotto, è l’unico passo che lo farà.