Gjør en anonym VPN-konto trafikken din anonym?
Registrering uten e-post endrer ett felt i et skjema. Kildeadressen, kontoens token og nettleserens informasjonskapsler svarer på tre ulike spørsmål.
Registrering uten e-postadresse endrer ett felt i et skjema. Den endrer ikke kildeadressen på nettet, ikke identifikatoren tjenesten utsteder internt, og heller ikke informasjonskapslene nettleseren din sender til hvert nettsted du besøker. Dette er tre atskilte spørsmål, og bare det første handler om kontoen i det hele tatt. Her er hva hvert lag faktisk holder, og hvilken beslutning som er din og ikke leverandørens.
Behandle anonymitet som en egenskap per observatør. Spør hvilken observatør, og det ærlige svaret endrer seg.
En pseudonym konto er fortsatt en konto
En leverandør kan utstede et kontonummer, en enhetsnøkkel eller et abonnementstoken uten å noen gang spørre om et juridisk navn. Det objektet binder likevel sesjoner sammen inne i tjenesten: samme token på samme abonnement, gjennom måneder.
Hva operatøren kan knytte til det tokenet avhenger av andre systemer. Betalingsopplysninger finnes hvis du betalte på en sporbar måte, en støtteadresse finnes hvis du skrev, og enhetsidentifikatorer eller tilkoblingstidspunkter kan finnes i driftslogger. Ingenting av dette kreves av registreringsskjemaet, og ingenting av det utelukkes av et skjema uten e-post. Skjemaet bestemmer hva som ble bedt om, ikke hva som finnes etterpå.
Å sende inn en diagnostisk profil eller åpne en støttebillett kan legge til flere detaljer enn det opprinnelige skjemaet noen gang ba om.
Hva tunnelens endepunkt nødvendigvis ser
Endepunktet avslutter tilkoblingen din, så det vet hvilken kildeadresse tilgangsnettverket ditt tildelte for den sesjonen, og når sesjonen startet. Det vet også hvilken intern nøkkel eller konto tilkoblingen svarer til, fordi den koblingen bestemmer hvor trafikken skal sendes.
WireGuards dokumentasjon er uvanlig direkte her: peer-identitet er den offentlige nøkkelen, ikke en skjult egenskap.
Det som forlater endepunktet mot en destinasjon, er en annen tilkobling. Hvis utgangsadressen deles med andre brukere, ser nettstedet i den andre enden en felles adresse i stedet for din. Den adskillelsen er reell, og den er også den eneste adskillelsen en delt utgang gir. Den skjuler ikke sesjonen din for operatøren, og den smelter deg ikke sammen med mengden for noen som kan observere begge ender, og det er nettopp korrelasjonsproblemet som RFC 6973 bruker hele sin lengde på.
Hva destinasjonen fortsatt mottar
Et nettsted ser utgangsadressen, forespørselen og alt klienten din frivillig gir fra seg. Informasjonskapsler, en allerede innlogget sesjon, et nettleseravtrykk og en lagret konto overlever alle en VPN-tilkobling uendret, fordi tunnelen bærer dem i stedet for å erstatte dem.
Å logge inn på en personlig konto identifiserer deg overfor det nettstedet uansett hvilken etikett VPN-kontoen bærer.
Navneoppslag fortjener sin egen linje. Hvis oppslag går til en resolver operatøren driver, ser operatøren navnene du spør etter. Hvis de går til en offentlig resolver, ser den resolveren dem, og det samme gjør alle på veien som kan observere ukryptert DNS. Uansett er valget av resolver en personvernbeslutning som registreringsskjemaet ikke tok for deg.
Hvor korrelasjonen faktisk skjer
Trafikkanalyse trenger ikke sideinnhold. Tilkoblingstidspunkter, overført volum og mønsteret for hvilket endepunkt som snakker med hvilken destinasjon, kan justere en kildeforbindelse mot en utgangsforbindelse når begge sider observeres. En delt utgang beskytter deg derfor mot én observatør og ikke mot to som samarbeider.
Transportkryptering endrer hva som kan leses, ikke hva som kan kobles sammen.
Tre spørsmål som erstatter slagordet
Hver av dem har en annen eier, og derfor kan et løfte gitt på ett lag ikke dekke et annet. Radene nedenfor er hele argumentet i kompakt form.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Bare den midterste raden handler om kontoen, og bare delvis. Radene over og under den bestemmes av ruting, av lagring og av din egen nettleser.
Les inventarlisten, ikke etiketten
En leverandør som publiserer en datainventarliste, et lagringsvindu og en identitetsarbeidsflyt, har fortalt deg noe som kan kontrolleres. En leverandør som sier anonym, har fortalt deg ett ord. Se etter hva som samles inn ved registrering, hva som overlever når sesjonen er over, og etter hvilken prosess data overleveres til en tredjepart.
Mangler disse tre, er etiketten ikke bevis for noe.
Start med observatøren du faktisk bryr deg om, og følg deretter én rad i tabellen: hvilken adresse ser den, hvilken identifikator holder den, hvor lenge lagres den. Rett raden som svikter i stedet for å gi kontoen nytt navn. Det er det eneste trinnet her som endrer et resultat.