VPNはブラウザのフィンガープリントを隠せるのか？Tor Browserの答えはノー

VPNは接続を別の出口アドレスに移して、そこで止まります。Tor Browserはブラウザ自身の見え方を変えます。アドレスはサイトが比較できる信号のひとつにすぎないからです。片方を他方で置き換えるのは、コートを着替えて誰も身長に気づかないと期待するようなものです。二つの層は別の問いに答えており、切り分けて考えてはじめて比較が意味を持ちます。

サイトが集めるのはアドレスだけではない

ブラウザのAPIや描画の挙動は、さまざまな特性の組み合わせを露出します。テキストがどう描かれるか、どんなフォントがあるか、ウィンドウが自身について何を報告するか、メディア機能がどう振る舞うか。個々の値は目立たないものですが、組み合わさると訪問者を小さな集団へと絞り込みます。その集団は、Cookieを一切使わずにセッションをまたいで誰かを追うのに十分なことが多いのです。

パケットが別の経路を通っても、そこは何も変わりません。VPNはサイトが記録する送信元アドレスを変えられますが、ブラウザの特性はどれも以前のままです。アドレスとフィンガープリントは、ページの別々の部分が集めています。

ログイン済みのアカウントや既存の識別子なら、フィンガープリントさえ不要です。サインインすればサイトはすでにあなたが誰かを知っています。だからIPの変化をセッションの自動リセットと見なすべきではありません。永続Cookie、保存されたデバイストークン、識別子を含むURLも同じです。三つとも、フィンガープリントをまったく使わずに新しいアドレスを生き延びます。

Tor Browserが標準化するもの

Tor Browserは、ある訪問者が別の訪問者とどれだけ違うかを減らすことを中心に作られています。フォントやプラグインを制限し、標準的なウィンドウ形状を提示し、サイト間で活動を分離し、自身の設定を既知の基準に近づけて保ちます。目的は不可視になることではなく、標本の中で珍しい組み合わせを持つ唯一の人物になるのを避けることです。

その設計があるからこそ、拡張機能を追加すると逆効果になります。追加のたびに検出可能な差異や予期しないネットワーク要求が生まれ、プライバシーのためにカスタマイズしたブラウザは既定よりも目立つことがよくあります。Torプロジェクトのフィンガープリントに関する指針は、想定された保護とその限界を説明しています。

だからこそ、普通のブラウザをTorプロキシに向けるのは同じことではありません。経路は転送できても、ブラウザ自身の見え方はプロキシ設定では統一できません。サポート対象のブラウザをそのまま最新に保ってください。

VPNが実際に変えるもの

VPNは、そこを通す通信の経路と送信元アドレスを変えます。特定の出口点がアプリやネットワークに求められる場合、プロバイダが範囲を遮断している場合、あるいはローカルネットワークに宛先をあまり見せたくない場合に役立ちます。

やらないのは、ブラウザの機能を均一化することや、同じブラウザプロファイル内でサイト同士を分離することです。これはネットワーク層の道具であり、ブラウザのプライバシー層として扱うと二つを混同します。VPNとTor Browserを併用すれば両方の責務が保たれ、どちらかの層の成功が他方について何かを証明することはありません。

Tor BrowserをVPN経由で動かすなら、トンネルがTorの通信を運び、ブラウザが自身の見え方を管理すると考えるのが自然です。動いているトンネルはフィンガープリント保護が有効だという証拠にはなりません。トンネルが落ちたときに何が起きるかを、優れたブラウザテストが何も語らないのと同じです。

層を分けて検証する

層ごとに一件ずつ、この順で確認します。

$ curl -s https://check.torproject.org/api/ip
{"IsTor":true,"IP":"185.220.101.4"}

その答えが示すのは出口経路であって、ブラウザではありません。Tor Browserの外で実行すればネットワークについて分かり、同じ要求をTor Browserの中で実行すればそのブラウザがTorネットワークを使っているかが分かります。どちらの結果も、ブラウザがどれほど珍しく見えるかは教えてくれません。

ブラウザの層については、インストール直後のTor Browserと、拡張機能が溜まり設定が変わったものとを比べてください。あなたが加えた差異こそが要点です。既定は共有された基準を目指しており、カスタマイズのたびにそこから離れていきます。同じサイトで、同じ種類のセッションで、ログインせずに試してください。

結論は分けておきましょう。VPNが答えるのは「この接続はどのアドレスから来たか」であり、Tor Browserが答えるのは「このブラウザはどれだけ目立つか」です。両者を混同すると、どちらも守らない自信過剰なプライバシー助言が生まれます。