Skjuler en VPN nettleserens fingeravtrykk? Tor Browser sier nei

En VPN flytter tilkoblingen din til en annen utgangsadresse og stopper der. Tor Browser endrer hvordan nettleseren presenterer seg selv, fordi adressen bare er ett av signalene et nettsted kan sammenligne. Å bytte det ene mot det andre er som å skifte frakk og forvente at ingen legger merke til høyden din. De to lagene svarer på forskjellige spørsmål, og en sammenligning gir bare mening hvis du holder dem adskilt.

Nettstedet samler inn mer enn en adresse

Nettleser-API-er og gjengivelsesatferd avdekker kombinasjoner av egenskaper: hvordan tekst tegnes, hvilke skrifter som finnes, hva vinduet rapporterer om seg selv, hvordan mediefunksjoner oppfører seg. Hver for seg er disse verdiene lite oppsiktsvekkende. Sammen snevrer de en besøkende inn til en liten gruppe, og den gruppen er ofte nok til å følge noen på tvers av økter helt uten noen informasjonskapsel.

Ingenting av dette endres når pakken tar en annen rute. En VPN kan endre kildeadressen et nettsted logger, mens hver eneste av disse nettleseregenskapene forblir nøyaktig som de var. Adressen og fingeravtrykket samles inn av forskjellige deler av siden.

En innlogget konto eller en eksisterende identifikator trenger ikke engang fingeravtrykket. Hvis du logger inn, vet nettstedet allerede hvem du er, og derfor bør en IP-endring aldri behandles som en automatisk tilbakestilling av økten. Det samme gjelder en vedvarende informasjonskapsel, et lagret enhetstoken eller en URL som bærer en identifikator. Alle tre overlever en ny adresse helt uten noen form for fingeravtrykk.

Hva Tor Browser standardiserer

Tor Browser er bygget rundt å redusere hvor mye én besøkende skiller seg fra en annen. Den begrenser skrifter og plugins, viser en standard vindusgeometri, isolerer aktivitet mellom nettsteder og holder sin egen konfigurasjon nær en kjent grunnlinje. Målet er ikke å være usynlig, men å unngå å være den eneste i utvalget med en uvanlig kombinasjon.

Det er derfor installasjon av ekstra utvidelser virker mot sin hensikt. Hver tilføyelse kan innføre en merkbar forskjell eller en uventet nettverksforespørsel, og en nettleser som er tilpasset for personvern blir ofte mer karakteristisk enn standarden. Tor-prosjektets veiledning om fingeravtrykk beskriver de tiltenkte beskyttelsene og hvor de er begrenset.

Det er også derfor det ikke er det samme å peke en vanlig nettleser mot en Tor-proxy. Ruting kan omdirigeres; nettleserens egen presentasjon kan ikke gjøres ensartet med en proxyinnstilling. Hold den støttede nettleseren intakt og oppdatert.

Hva en VPN faktisk endrer

En VPN endrer ruten og kildeadressen for trafikken du sender gjennom den. Det er virkelig nyttig når et program eller et nettverk krever et bestemt utgangspunkt, når en leverandør blokkerer et område, eller når du vil at ditt lokale nettverk skal se mindre til destinasjonene dine.

Det den ikke gjør, er å normalisere nettleserfunksjoner eller isolere ett nettsted fra et annet innenfor samme nettleserprofil. Det er et verktøy på nettverkslaget, og å behandle det som et personvernlag for nettleseren blander de to. En VPN pluss Tor Browser beholder begge sett med ansvar, og ingen av lagenes suksess beviser noe om det andre.

Hvis du kjører Tor Browser gjennom en VPN, forvent at tunnelen bærer Tor-trafikken og at nettleseren håndterer sin egen presentasjon. En fungerende tunnel er ikke bevis på at fingeravtrykkbeskyttelsen er effektiv, like lite som en god nettlesertest sier noe om hva som skjer når tunnelen faller.

Test lagene hver for seg

Én kontroll per lag, i denne rekkefølgen:

$ curl -s https://check.torproject.org/api/ip
{"IsTor":true,"IP":"185.220.101.4"}

Det svaret beskriver utgangsveien, ikke nettleseren. Kjør det utenfor Tor Browser og du lærer om nettverket; kjør den samme forespørselen inne i Tor Browser og du lærer om den nettleseren bruker Tor-nettverket. Ingen av resultatene forteller hvor uvanlig nettleseren ser ut.

For nettleserlaget kan du sammenligne en nyinstallert Tor Browser med en som har samlet utvidelser og endrede innstillinger. Forskjellene du innførte, er poenget: standarden sikter mot en felles grunnlinje, og hver tilpasning flytter deg bort fra den. Test dem på samme nettsted, i samme økttype, uten å logge inn.

Hold konklusjonene adskilt. En VPN svarer på «hvilken adresse kom denne tilkoblingen fra», og Tor Browser svarer på «hvor mye skiller denne nettleseren seg ut». Å blande de to gir selvsikre personvernråd som ikke beskytter noen av dem.