Blockéiert d'Säit dech nëmmen mat ageschaltem VPN? Dat gesäit se
De Block ass meeschtens d'Ausgangsadress, net e Leck. Préif dat Netzwierk, vun deem däin Trafic schéngt ze kommen, de Resolver, deen eng Säit kann opschreiwen, an wat de Säitecode weess.
De Buttek luede sech doheem gutt a weist eng Mauer vun «ongewéinlechem Trafic» dee Moment wou den Tunnel ugeet. E Forum refuséiert dech anzelloggen, an eng Streaming-Säit behaapt, du wiers an engem Land, dat du ni besicht hues. Näischt dovun brauch Spionage-Software. Eng Säit gesäit d'Adress, vun där deng Pakete kommen, a mat engem VPN gehéiert déi Adress zu engem Rechenzentrum an net zu enger Heemleitung. De gréissten Deel vun deem, wat VPN-Erkennung genannt gëtt, fänkt an ennt mat dëser eenzeger Tatsaach, an de Rescht ass eng Schlussfolgerung mat enger viraussobarer Fehlerquote.
De Block fänkt domat un, vu wou deng Pakete schéngen ze kommen
All Ufro dréit eng Quelladress, an de Server, deen se kritt, kann se an ëffentlechen Daten nokucken: wéi en Netzwierk se annoncéiert, ob dat Netzwierk en Hostingprovider ass, ob et op Mëssbrauchslëschten opgetrueden ass, a wéi e Land de Registre et zoudeelt. Näischt dovun identifizéiert dech, an alles zesummen ass genuch, fir dech an eng Kategorie ze setzen.
Kuck däin eegenen Trafic wéi en Frieme et géif maachen. Zwou Kommandoen decken de gréissten Deel vun der Uewerfläch of, an déi zweet ass déi, déi d'Leit vergiessen:
curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.comDéi éischt gëtt d'Ausgangsadress, hir Organisatioun an hire Land zréck. Déi zweet gëtt d'Adress vum Resolver zréck, deen de Numm-Server vun Google erreecht huet; déi gehéiert dacks zu engem aneren Netzwierk wéi däin Ausgang, an et ass d'Adress, déi eng Säit gesäit, wa se Daten op der Resolversäit opschreift. Wann déi zwou zu verschiddene Länner gehéieren, hale verschidde Säiten d'Diskrepanz fir verdächteg, och wann un denger Konfiguratioun näischt falsch ass.
Wann d'Refusung eréischt ufänkt, nodeems den Tunnel ugeet, verdächteg als éischt d'Ausgangsadress. Wiessel de Server a probéier nach eng Kéier, ier s de de Browser ufäss. E Block, deen dech iwwer dräi Ausgäng vum selwechte Provider verfollegt, geet ëm d'Bereicher vum Provider; e Block, deen op engem anere Server verschwënnt, geet ëm déi eng Adress.
Zäitzone, Sprooch an Auer stëmmen net mat der Adress iwwerenee
De Säitecode kann deng Zäitzone, deng Sproochpreferenzen an deng Bildschiirmastellungen ouni eng Erlaabnesufro liesen. E Browser, deen Mëtteleuropäesch Zäit mellt, während d'Verbindung aus engem Rechenzentrum zu Singapur kënnt, ass e méi staarkt Signal wéi d'Adress eleng, an et ass just déi Zort Diskrepanz, fir déi Betrugsbewäertung gebaut ass.
Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().localeDéi dräi Zeilen an der Entwécklerkonsole soen der, wat däi Browser fräiwëlleg gëtt. E VPN-Client kann deng Route änneren an näischt anescht, dofir bleift de Profil, deen s du dréis, heemesch, während däin Ausgang et net ass. Konsequenz ass hei dat, wat zielt: en Laptop, deen op déi selwecht Regioun wéi den Ausgang agestallt ass, gesäit gewéinlech aus, an een, deen sech selwer widderläit, net.
Dofir ass de Feeler och ënnerbrach. Vill Säiten interesséiert et net, e puer bewäerten et, an eng Memberschaftssäit entscheet, datt s du e Betrüger bass. De Client funktionéiert an allen dräi Fäll richteg, an dofir ass déi gewéinlech Support-Antwert, «et wäert däi Browser sinn», gläichzäiteg genervt an deelweis wouer.
Wat de Säitecode wierklech iwwer deng Maschinn weess
JavaScript huet keng API, déi Netzwierkinterfacen opzielt. Eng Säit kann net froen, wéi eng Adressen däi Laptop huet, dofir ass déi al Behaaptung, datt e Skript deng LAN-Adress liest, gréisstendeels eng Erënnerung un d'Plugin-Zäit, wéi ActiveX-Kontrollen, Java-Applets an aneren native Code genee dat konnten.
| Signal | What it reveals | Status today |
|---|---|---|
| Source address of the request | Exit network, country, hosting status | Always visible; the main signal |
| Time zone and language | Where the profile claims to be | Readable without permission |
| WebRTC candidates | Local addresses, historically | Host candidates are mDNS-obfuscated by default |
| Interface list | All local addresses | Not available to ordinary JavaScript |
WebRTC ass déi éierlech Ausnam vun «keng lokal Adresslecks». Seng Kandidatesammlung huet fréier lokal Adressen un all Säit verroden, déi gefrot huet, an d'Léisung war, Hostkandidaten duerch zoufälleg mDNS-Nimm z'ersetzen. Déi Standardastellung gëllt an aktuelle Browser, awer et ass eng Browserentscheedung an net eng Protokollgarantie, dofir kann en veraltete Build oder eng gehäert Konfiguratioun, déi lokal Kandidaten erëm aktivéiert, nach ëmmer lecken. De Browser aktualiséieren hëlleft der hei méi wéi all Erweiderung.
Däi Provider gesäit d'Nimm, net den Inhalt
HTTPS schützt den Inhalt vun enger Säit vun Enn zu Enn, an den Tunnelbetreiber, deen déi Bytes weiderleet, kann se net liesen. Den Betreiber kann nach ëmmer gesinn, wéi eng Adress s du kontaktéiert hues, an an de meeschte Deploymenter den Servernumm am Handshake, well den Numm liesbar muss sinn, fir datt d'Verbindung op déi richteg Säit gerout gëtt. Encrypted Client Hello existéiert genee dofir, fir dëst Feld ze verstoppen, an et hëlleft nëmmen, wa souwuel de Client wéi och d'Säit et ënnerstëtzen.
D'Nimmopliesung ass déi aner Hallschent. Wann däi Provider och de Resolver liwwert, gesäit en all Numm, deen s du söchs, ier eng Verbindung existéiert. Wann däin Apparat en ëffentleche Resolver iwwer HTTPS benotzt, gesäit de Provider eng Verbindung zu deem Resolver an näischt anescht, während de Resolver selwer d'Lëscht gesäit.
Eng net verschlësselt HTTP-Ufro ass fir den Betreiber liesbar aus dem selwechte Grond, aus deem se fir d'Hotelnetzwierk liesbar ass: näischt dobannen ass verschlësselt. En Tunnel huet ni anescht behaapt, an en reparéiert net d'Wiel vun der Applikatioun.
Trenn «dëst ass e VPN» vun «dëst sinn ech»
Erkennung ass bëlleg, probabilistesch a dacks falsch. Gedeelt Ausgangsadressen ginn markéiert, well een aneren se mëssbraucht huet, Firmenberäicher ginn als Hosting klasséiert, a Mobiloperateure produzéiere geografesch Resultater, déi jiddereen iwwerrascht. Identifikatioun ass en anere Problem: se brauch eng dauerhaft Verbindung wéi e Kont, an deen s du ageloggt bass, e Cookie, eng Bezueldetail oder zwee Observateuren, déi Notizen vergläichen.
Entscheed, géint wat s du wierklech kämpfs. Wann d'Zil ass, eng Säit ze liesen, mécht HTTPS déi Aarbecht schonn an den Tunnel ännert wéineg. Wann d'Zil ass, d'Säit ze verhënneren ze wëssen, an wéi enger Stad s du bass, sinn den Ausgang an de Resolver dat, wat zielt. Wann d'Zil ass, d'Verbindung zu denger richteger Identitéit ze briechen, ass de Kont de schwaache Punkt, an de Serverwiessel mécht näischt un der Aloggen, déi s just benotzt hues.
En neien Ausgang loggt dech niergendwo aus, an en kann net läschen, wat eng Säit schonn iwwer de Kont, deen s du benotzt hues, gespäichert huet. Dofir ass déi praktesch Reiefolleg onglamouréis: wiel en Ausgang, deem säin Netzwierk gewéinlech ausgesäit, hal de Browserprofil domat konsequent, aktualiséier de Browser, sou datt d'leckanfälleg Funktiounen hir modern Standardastellungen benotzen, an akzeptéier, datt eng kleng Zuel vu Säiten nach ëmmer falsch iwwer dech räte wäert.