Maakt een anoniem VPN-account je verkeer echt anoniem?
Aanmelden zonder e-mail verandert één veld op een formulier. Het bronadres, het token van het account en de cookies van je browser beantwoorden drie verschillende vragen.
Aanmelden zonder e-mailadres verandert één veld op een formulier. Het verandert niet het bronadres op het netwerk, niet de identificatie die de dienst intern uitgeeft, en ook niet de cookies die je browser naar elke bezochte site stuurt. Dat zijn drie afzonderlijke vragen, en alleen de eerste gaat überhaupt over het account. Hieronder staat wat elke laag werkelijk vasthoudt, en welke beslissing van jou is en niet van de provider.
Behandel anonimiteit als een eigenschap per waarnemer. Vraag welke waarnemer, en het eerlijke antwoord verandert.
Een pseudoniem account blijft een account
Een provider kan een accountnummer, een apparaatsleutel of een abonnementstoken uitgeven zonder ooit een wettelijke naam te vragen. Dat object verbindt sessies nog steeds binnen de dienst: hetzelfde token op hetzelfde abonnement, maandenlang.
Wat de operator aan dat token kan koppelen, hangt van andere systemen af. Betalingsgegevens bestaan als je op een traceerbare manier hebt betaald, een supportadres bestaat als je hebt geschreven, en apparaatidentificaties of verbindingstijdstempels kunnen in operationele logs staan. Niets daarvan wordt door het aanmeldformulier gevraagd, en niets daarvan wordt door een formulier zonder e-mail uitgesloten. Het formulier bepaalt wat er gevraagd is, niet wat er daarna bestaat.
Een diagnostisch profiel insturen of een supportticket openen kan meer details toevoegen dan het oorspronkelijke formulier ooit vroeg.
Wat het tunneleindpunt noodzakelijkerwijs ziet
Het eindpunt beëindigt je verbinding, dus het weet welk bronadres je toegangsnetwerk voor die sessie heeft toegewezen en wanneer de sessie begon. Het weet ook aan welke interne sleutel of welk account die verbinding is gekoppeld, want die koppeling bepaalt waar het verkeer naartoe gaat.
De documentatie van WireGuard is hier ongewoon direct: de identiteit van de peer is de publieke sleutel, geen verborgen eigenschap.
Wat het eindpunt richting een bestemming verlaat, is een andere verbinding. Als het uitgaande adres met andere gebruikers wordt gedeeld, ziet de site aan de andere kant een gemeenschappelijk adres in plaats van het jouwe. Die scheiding is echt, en het is ook de enige scheiding die een gedeelde uitgang biedt. Ze verbergt je sessie niet voor de operator en smelt je niet samen met de menigte voor wie beide uiteinden kan waarnemen, en dat is precies het correlatieprobleem waaraan RFC 6973 zijn hele lengte besteedt.
Wat de bestemming nog steeds ontvangt
Een website ziet het uitgaande adres, het verzoek en alles wat je client vrijwillig prijsgeeft. Cookies, een al aangemelde sessie, een browserfingerafdruk en een opgeslagen account doorstaan allemaal een VPN-verbinding ongewijzigd, omdat de tunnel ze draagt in plaats van ze te vervangen.
Inloggen op een persoonlijk account identificeert je bij die site, ongeacht welk label het VPN-account draagt.
Naamresolutie verdient een eigen regel. Als opzoekingen naar een resolver gaan die de operator beheert, ziet de operator de namen die je vraagt. Als ze naar een publieke resolver gaan, ziet die resolver ze, en ook iedereen op het pad die onversleutelde DNS kan waarnemen. Hoe dan ook, welke resolver wordt gebruikt is een privacybeslissing die het aanmeldformulier niet voor je heeft genomen.
Waar correlatie werkelijk plaatsvindt
Verkeersanalyse heeft geen paginainhoud nodig. Verbindingstijden, overdrachtsvolume en het patroon van welk eindpunt met welke bestemming spreekt, kunnen een bronverbinding met een uitgaande verbinding op één lijn brengen wanneer beide kanten worden waargenomen. Een gedeelde uitgang beschermt je dus tegen één waarnemer en niet tegen twee die samenwerken.
Transportversleuteling verandert wat leesbaar is, niet wat koppelbaar is.
Drie vragen in plaats van de slogan
Elk heeft een andere eigenaar, en daarom kan een belofte op één laag een andere niet dekken. De regels hieronder zijn het hele argument in compacte vorm.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Alleen de middelste regel gaat over het account, en dan nog gedeeltelijk. De regels erboven en eronder worden bepaald door routering, door bewaring en door je eigen browser.
Lees de inventaris, niet het label
Een provider die een datainventaris, een bewaartermijn en een identiteitsworkflow publiceert, heeft je iets controleerbaars verteld. Een provider die anoniem zegt, heeft je één woord verteld. Zoek naar wat er bij aanmelding wordt verzameld, wat er overblijft als de sessie eindigt, en volgens welk proces gegevens aan een derde worden overhandigd.
Als die drie ontbreken, is het label geen bewijs van iets.
Begin bij de waarnemer die je werkelijk belangrijk vindt, en volg dan één regel van de tabel: welk adres ziet die, welke identificatie houdt die vast, hoe lang wordt die bewaard. Repareer de regel die faalt in plaats van het account te hernoemen. Dat is de enige stap hier die een uitkomst verandert.