Laman menyekat anda hanya apabila VPN dihidupkan? Inilah yang dilihatnya

Kedai dimuatkan dengan baik di rumah dan menunjukkan dinding «trafik luar biasa» sebaik sahaja terowong dinaikkan. Sebuah forum enggan membenarkan anda log masuk, dan halaman penstriman menegaskan anda berada di negara yang tidak pernah anda lawati. Tiada satu pun daripada itu memerlukan perisian perisik. Laman melihat alamat dari mana paket anda tiba, dan dengan VPN alamat itu milik pusat data dan bukan talian rumah. Sebahagian besar apa yang dipanggil pengesanan VPN bermula dan berakhir dengan fakta tunggal itu, dan selebihnya ialah inferens dengan kadar ralat yang boleh dijangka.

Sekatan bermula dari tempat paket anda kelihatan datang

Setiap permintaan membawa alamat sumber, dan pelayan yang menerimanya boleh mencarinya dalam data awam: rangkaian mana yang mengumumkannya, sama ada rangkaian itu pembekal pengehosan, sama ada ia pernah muncul dalam senarai penyalahgunaan, dan negara mana yang diberikan oleh pendaftar. Tiada satu pun daripada itu mengenal pasti anda, dan semuanya cukup untuk mengelaskan anda.

Lihat trafik anda sendiri seperti orang asing akan melihatnya. Dua arahan meliputi sebahagian besar permukaan, dan yang kedua ialah yang orang lupa:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Yang pertama mengembalikan alamat keluar, organisasinya dan negaranya. Yang kedua mengembalikan alamat penyelesai yang sampai ke pelayan nama Google; ia sering berada dalam rangkaian berbeza daripada alamat keluar anda, dan itulah alamat yang dilihat laman jika ia merekodkan data di sebelah penyelesai. Apabila kedua-duanya milik negara berbeza, sesetengah laman menganggap ketidakpadanan itu mencurigakan walaupun tiada yang salah dengan persediaan anda.

Apabila penolakan bermula hanya selepas terowong dinaikkan, syak alamat keluar sebelum apa-apa lagi. Tukar pelayan dan cuba lagi sebelum menyentuh pelayar. Sekatan yang mengikuti anda merentas tiga alamat keluar daripada pembekal yang sama berkaitan julat pembekal itu; sekatan yang hilang pada pelayan lain berkaitan alamat tunggal itu.

Zon waktu, bahasa dan jam tidak sepadan dengan alamat

Kod halaman boleh membaca zon waktu anda, keutamaan bahasa anda dan tetapan skrin tanpa sebarang permintaan kebenaran. Pelayar yang melaporkan waktu Eropah Tengah sementara sambungan datang dari pusat data di Singapura ialah isyarat lebih kuat daripada alamat semata-mata, dan itulah jenis ketidakpadanan yang direka untuk diperhatikan oleh penilaian penipuan.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Tiga baris itu dalam konsol pembangun memberitahu anda apa yang pelayar anda berikan secara sukarela. Klien VPN boleh menukar laluan anda dan tiada yang lain, jadi profil yang anda bawa kekal domestik sedangkan alamat keluar anda tidak. Yang penting di sini ialah konsistensi: komputer riba yang ditetapkan pada wilayah yang sama dengan alamat keluar kelihatan biasa, dan yang bercanggah dengan dirinya sendiri tidak.

Itulah sebabnya kegagalan berlaku sekali-sekala. Banyak laman tidak peduli, beberapa menilainya, dan satu laman keahlian memutuskan anda seorang penipu. Klien berfungsi dengan betul dalam ketiga-tiga kes, sebab itulah jawapan sokongan biasa, «mesti pelayar anda», kedua-duanya menjengkelkan dan sebahagiannya benar.

Apa yang sebenarnya diketahui kod halaman tentang mesin anda

JavaScript tiada API yang menyenaraikan antara muka rangkaian. Halaman tidak boleh bertanya alamat apa yang dimiliki komputer riba anda, jadi dakwaan lama bahawa skrip membaca alamat LAN anda kebanyakannya ialah ingatan zaman pemalam, ketika kawalan ActiveX, applet Java dan kod asli lain boleh melakukan tepat itu.

WebRTC ialah pengecualian jujur kepada «tiada kebocoran alamat tempatan». Pengumpulan calonnya dahulu mendedahkan alamat tempatan kepada mana-mana halaman yang meminta, dan pembetulannya ialah menggantikan calon hos dengan nama mDNS rawak. Lalai itu kekal dalam pelayar semasa, tetapi ia keputusan pelayar dan bukan jaminan protokol, jadi binaan lama atau konfigurasi diperketat yang mengaktifkan semula calon tempatan masih boleh bocor. Mengemas kini pelayar lebih membantu anda di sini daripada mana-mana sambungan.

Pembekal anda melihat nama, bukan kandungan

HTTPS melindungi kandungan halaman dari hujung ke hujung, dan pengendali terowong yang memajukan bait itu tidak dapat membacanya. Pengendali masih boleh melihat alamat yang anda hubungi, dan dalam kebanyakan penggunaan nama pelayan dalam jabat tangan, kerana nama itu mesti boleh dibaca supaya sambungan dihalakan ke laman yang betul. Encrypted Client Hello wujud khusus untuk menyembunyikan medan itu, dan ia hanya membantu apabila kedua-dua klien dan laman menyokongnya.

Penyelesaian nama ialah separuh lagi. Jika pembekal anda juga menyediakan penyelesai, ia melihat setiap nama yang anda cari sebelum sebarang sambungan wujud. Jika peranti anda menggunakan penyelesai awam melalui HTTPS, pembekal melihat sambungan kepada penyelesai itu dan tiada yang lain, manakala penyelesai itu sendiri melihat senarainya.

Permintaan HTTP tanpa penyulitan boleh dibaca oleh pengendali atas sebab yang sama ia boleh dibaca oleh rangkaian hotel: tiada apa di dalamnya yang disulitkan. Terowong tidak pernah mendakwa sebaliknya, dan ia tidak membaiki pilihan aplikasi.

Asingkan «ini VPN» daripada «ini saya»

Pengesanan itu murah, bersifat kebarangkalian dan sering salah. Alamat keluar dikongsi ditandakan kerana orang lain menyalahgunakannya, julat korporat dikelaskan sebagai pengehosan, dan pengendali mudah alih menghasilkan keputusan geografi yang mengejutkan semua orang. Pengenalan ialah masalah lain: ia memerlukan pautan berterusan seperti akaun yang anda log masuk, kuki, butiran pembayaran, atau dua pemerhati yang membandingkan nota.

Tentukan mana yang sebenarnya anda lawan. Jika matlamatnya membaca halaman, HTTPS sudah melakukan kerja itu dan terowong mengubah sedikit. Jika matlamatnya menghalang laman daripada mengetahui di bandar mana anda berada, alamat keluar dan penyelesai yang penting. Jika matlamatnya memutuskan pautan kepada identiti sebenar anda, akaun ialah titik lemah, dan menukar pelayan tidak melakukan apa-apa pada log masuk yang baru anda gunakan.

Alamat keluar baharu tidak melog keluar anda daripada apa-apa, dan ia tidak boleh memadam apa yang telah disimpan laman tentang akaun yang anda gunakan. Oleh itu urutan praktikalnya tidak glamor: pilih alamat keluar yang rangkaiannya kelihatan biasa, kekalkan profil pelayar konsisten dengannya, kemas kini pelayar supaya ciri terdedah kepada kebocoran menggunakan lalai modennya, dan terima bahawa sebilangan kecil laman masih akan meneka salah tentang anda.