Endrer en VPN nettleserens fingeravtrykk? Hva du bør teste først

Du bytter VPN-en til et annet land, laster butikken på nytt, og den hilser deg fortsatt ved navn med den samme handlekurven. Det er øyeblikket ordet fingeravtrykk vanligvis kommer inn i samtalen, ofte fulgt av et teststed som hevder at nettleseren din er én av en million. Ta problemet i riktig rekkefølge i stedet: for vanlige sideforespørsler endrer tunnelen nøyaktig ett felt, nettleseren fortsetter å rapportere dusinvis, og testen måler noe smalere enn det høres ut som. Fem trinn skiller disse tre tingene.

Trinn 1: utelukk de kjedelige grunnene til at du ble gjenkjent

Begynn utlogget. Åpne et privat vindu, besøk den samme siden og se om den fortsatt oppfører seg som om den kjenner deg. Informasjonskapsler, lokal lagring og en aktiv økt forklarer de fleste rapportene om «den så meg gjennom VPN-en», og ingen av dem er fingeravtrykk.

Hvis siden fortsatt gjenkjenner noe i et privat vindu, se på den synlige tilstanden du tok med deg: samme konto i en annen fane, et lagret skjemafelt, en passordbehandler som fyller ut adressen din, eller et nettsted du autoriserte med et token i URL-en. Hver av dem er en lagret referanse, og sletting av profilen fjerner den.

Bare når en ren profil uten økt fortsatt gir en gjenkjenning som korrelerer med tidligere besøk, er det verdt å snakke om et fingeravtrykk. Det er en mye smalere påstand enn «VPN-en virker ikke», og det er den du faktisk kan teste.

Trinn 2: bytt utgangen og list opp hva som ikke endret seg

Sett opp tunnelen, og kontroller deretter den ene verdien tunnelen skal flytte: adressen en server ser. Enhver side for adresseoppslag viser den, eller les den fra et endepunkt du kontrollerer med curl -s https://your-endpoint.example/ip. Enhver ekko-tjeneste du bruker ser forespørselen, så et endepunkt du eier holder det utenfor andres logger. Bekreft at den endret seg. Nå den interessante delen — list opp hva nettleseren fortsatt rapporterer om seg selv, for nesten ingenting av det reiser i pakkehodet.

Raden med tidssonen er den det er verdt å stoppe ved. Den leses fra operativsystemet, så en tunnel som flytter trafikken din til en annen verdensdel mens klokken fortsatt sier hjembyen din, gir et misforhold som i seg selv er en særegen observasjon. Det samme gjelder en språkliste i ett land og en utgang i et annet: ikke bevis for noe, bare en kombinasjon som skiller seg ut. WebRTC er unntaket i tabellen: en side som åpner en medie- eller datakanal kan samle kandidatadresser, og med tunnelen oppe kan en kandidat bære utgangsadressen eller, uten lekkasjebeskyttelse, fortsatt tilby din lokale.

Trinn 3: les en fingeravtrykkstest etter hva den rapporterer

EFFs Cover Your Tracks er det vanlige første stoppet. Den viser egenskaper nettleseren din eksponerer for den siden og gir en dom om hvor mange nettlesere i utvalget dens som deler dem. Les det med liten skrift: utvalget er menneskene som tok testen, signalene er de den siden valgte å samle inn, og dommen er et anslag over entropibiter, ikke en folketelling.

Så «nettleseren din er unik» betyr unik innenfor det datasettet, i dag, med det settet av prober. Det betyr ikke at et nettsted kan utlede navnet ditt, og det er ikke en permanent egenskap — en nettleseroppdatering kan flytte verdien uten at du rører noe.

Bruk testen som et måleinstrument, ikke som en poengsum som skal optimaliseres. Noter de rapporterte verdiene, endre én ting og sammenlign de samme feltene. Hvis ingenting endret seg i nettleseren og avlesningene likevel flyttet seg, var endringen støy i utvalget, ikke i deg.

Trinn 4: endre egenskapene som faktisk er dine

Nå kan du handle på bestemte rader. Språklisten, tidssonen og de regionale formatene er innstillinger, og å tilpasse dem til stedet du hevder å være på er sammenhengende atferd, ikke et triks. En egen nettleserprofil per kontekst holder nettstedsdata og innlogginger atskilt, noe som håndterer gjenkjenningen fra trinn 1 mer pålitelig enn noen anti-fingeravtrykksutvidelse.

Vær forsiktig med det klassiske rådet om å legge til herdingsutvidelser. Hver av dem endrer den observerbare overflaten din, og et sett uvanlige innstillinger kan gjøre deg sjeldnere i stedet for mer vanlig. Noen blokkerer et API som sider kan oppdage mangler ved; andre etterlater en karakteristisk lappet signatur. En utvidelses popularitet er ikke bevis for at den reduserer identifiserbarhet.

Nettlesere som tar dette på alvor gjør noe strukturelt annerledes: de standardiserer. Tor Browser søker å få hver bruker til å rapportere de samme verdiene, Firefox leverer en beskyttelsesmodus som rapporterer standardiserte verdier fra et lite sett i stedet for dine ekte, og Safari begrenser hva nettsteder kan lese. Det er en designbeslutning som anvendes konsekvent, og veiledningen i W3Cs veiledning om fingeravtrykk forklarer hvorfor standardisering slår tilfeldiggjøring per bruker for dette problemet.

Trinn 5: avgjør hvilket lag du egentlig trengte

Tre separate ting blir pakket inn i «skjul meg»: nettverksveien, nettleserens observerbare overflate og kontoene dine. En VPN håndterer det første. Den berører ikke det andre, og den kan ikke hjelpe med det tredje — innlogging er den mest direkte identifikatoren som finnes, og den overlever hver utgangsendring.

Hvis målet ditt er at et nettsted ikke kan se at to besøk henger sammen, trenger du også nettleserlaget: en ren profil per kontekst, konsekvente innstillinger og ingen delt innlogging. Hvis målet ditt er at nettstedet ikke kan se i det hele tatt hvem du er, er det en trusselmodell der Tor Browser, som kombinerer ruting med standardisering på nettlesernivå, er det sammenhengende valget fremfor en vanlig nettleser bak en tunnel.

Hvis målet ditt bare er at nettstedet ser en annen by og at tilbyderen din ikke ser noe, er tunnelen alene faktisk nok, og resultatet av fingeravtrykkstesten er irrelevant for det målet. Det meste av skuffelsen her kommer av å kjøpe ett lag og forvente tre.

En rekkefølge som holder trinnene ærlige:

• Reproduser gjenkjenningen med en ren profil og uten innlogging før du gir tunnelen skylden.
• Bekreft at utgangsadressen endret seg, og noter deretter hvilke nettleserverdier som ikke gjorde det.
• Sammenlign de samme testfeltene før og etter én enkelt endring, ikke toppresultatet.
• Rett tidssone og språk slik at de passer historien din før du legger til noen utvidelse.
• Velg laget som passer målet: nettverk, nettleseroverflate eller kontoer.