Verandert een VPN de vingerafdruk van je browser? Wat je eerst moet testen

Je zet de VPN op een ander land, herlaadt de winkel, en hij begroet je nog steeds bij naam met hetzelfde mandje. Dat is het moment waarop het woord vingerafdruk meestal in het gesprek komt, vaak gevolgd door een testsite die beweert dat je browser er één op een miljoen is. Pak het probleem liever in volgorde aan: bij gewone paginaverzoeken verandert de tunnel precies één veld, de browser blijft tientallen velden melden, en de test meet iets smallers dan het klinkt. Vijf stappen scheiden die drie dingen.

Stap 1: sluit de saaie redenen uit waarom je werd herkend

Begin uitgelogd. Open een privévenster, bezoek dezelfde pagina en kijk of hij zich nog gedraagt alsof hij je kent. Cookies, lokale opslag en een actieve sessie verklaren de meeste meldingen van «het zag me door de VPN», en geen daarvan is vingerafdruk.

Als de pagina in een privévenster nog iets herkent, kijk dan naar de zichtbare staat die je hebt meegenomen: hetzelfde account in een ander tabblad, een opgeslagen formulierinvoer, een wachtwoordbeheerder die je adres invult, of een site die je met een token in de URL hebt geautoriseerd. Elk daarvan is een opgeslagen verwijzing, en het wissen van het profiel haalt die weg.

Pas wanneer een schoon profiel zonder sessie nog steeds een herkenning oplevert die correleert met eerdere bezoeken, is het de moeite waard om over een vingerafdruk te praten. Dat is een veel smallere bewering dan «de VPN werkt niet», en het is degene die je echt kunt testen.

Stap 2: verander de uitgang en noteer wat niet veranderde

Zet de tunnel op, controleer dan de enige waarde die de tunnel hoort te verplaatsen: het adres dat een server ziet. Elke pagina voor adresopzoeken toont het, of lees het van een eindpunt dat je beheert met curl -s https://your-endpoint.example/ip. Elke echodienst die je gebruikt ziet het verzoek, dus een eindpunt dat van jou is houdt dat buiten andermans log. Bevestig dat het veranderd is. Nu het interessante deel — noteer wat de browser nog over zichzelf meldt, want bijna niets daarvan reist mee in de pakketkop.

De rij met de tijdzone is degene waarbij het de moeite loont om stil te staan. Die wordt uit het besturingssysteem gelezen, dus een tunnel die je verkeer naar een ander continent verplaatst terwijl de klok nog je thuisstad zegt, levert een mismatch op die zelf een onderscheidende observatie is. Hetzelfde geldt voor een talenlijst in het ene land en een uitgang in het andere: geen bewijs van iets, alleen een combinatie die opvalt. WebRTC is de uitzondering in de tabel: een pagina die een media- of datakanaal opent kan kandidaatadressen verzamelen, en met de tunnel omhoog kan een kandidaat het uitgangsadres dragen of, zonder lekbescherming, nog steeds je lokale adres bieden.

Stap 3: lees een vingerafdruktest naar wat die meldt

Cover Your Tracks van EFF is de gebruikelijke eerste stop. Het toont kenmerken die je browser aan die pagina blootlegt en geeft een oordeel over hoeveel browsers in zijn steekproef die delen. Lees de kleine lettertjes: de steekproef zijn de mensen die de test deden, de signalen zijn degene die die pagina koos te verzamelen, en het oordeel is een schatting van entropiebits, geen volkstelling.

Dus «je browser is uniek» betekent uniek binnen die dataset, vandaag, met die set probes. Het betekent niet dat een site je naam kan afleiden, en het is geen permanente eigenschap — een browserupdate kan de waarde verplaatsen zonder dat je iets aanraakt.

Gebruik de test als meetinstrument, niet als een score om te optimaliseren. Noteer de gemelde waarden, verander één ding en vergelijk dezelfde velden. Als er in de browser niets veranderde en de metingen toch verschoof, was de verandering ruis in de steekproef, niet in jou.

Stap 4: verander de kenmerken die echt van jou zijn

Nu kun je op specifieke rijen handelen. De talenlijst, de tijdzone en de regionale formaten zijn instellingen, en ze afstemmen op de plek waar je zegt te zijn is samenhangend gedrag, geen truc. Een apart browserprofiel per context houdt sitegegevens en logins gescheiden, wat de herkenning uit stap 1 betrouwbaarder aanpakt dan welke anti-vingerafdrukextensie dan ook.

Wees voorzichtig met het klassieke advies om verhardingsextensies toe te voegen. Elk daarvan verandert je waarneembare oppervlak, en een set ongebruikelijke instellingen kan je zeldzamer maken in plaats van gewoner. Sommige blokkeren een API die pagina's als ontbrekend kunnen detecteren; andere laten een kenmerkende gepatchte signatuur achter. De populariteit van een extensie is geen bewijs dat die de identificeerbaarheid verlaagt.

Browsers die dit serieus nemen doen iets structureel anders: ze standaardiseren. Tor Browser streeft ernaar dat elke gebruiker dezelfde waarden meldt, Firefox levert een beschermingsmodus die gestandaardiseerde waarden uit een kleine set meldt in plaats van je echte, en Safari beperkt wat sites kunnen lezen. Dat is een ontwerpbeslissing die consistent wordt toegepast, en de richtlijnen in de W3C-richtlijn over vingerafdrukken leggen uit waarom standaardiseren bij dit probleem beter is dan randomisatie per gebruiker.

Stap 5: beslis welke laag je echt nodig had

Drie losse dingen worden onder «verstop me» gebundeld: het netwerkpad, het waarneembare oppervlak van de browser en je accounts. Een VPN pakt het eerste aan. Die raakt het tweede niet, en kan niet helpen bij het derde — inloggen is de meest directe identificator die er is, en die overleeft elke uitgangsverandering.

Als je doel is dat een site niet kan zien dat twee bezoeken samenhangen, heb je ook de browserlaag nodig: een schoon profiel per context, consistente instellingen en geen gedeelde login. Als je doel is dat de site helemaal niet kan zien wie je bent, is dat een dreigingsmodel waarin Tor Browser, die routering met standaardisatie op browserniveau combineert, de samenhangende keuze is in plaats van een gewone browser achter een tunnel.

Als je doel alleen is dat de site een andere stad ziet en je provider niets, dan is de tunnel alleen echt voldoende, en het resultaat van de vingerafdruktest is voor dat doel irrelevant. De meeste teleurstelling hier komt van één laag kopen en er drie verwachten.

Een volgorde die de stappen eerlijk houdt:

• Reproduceer de herkenning met een schoon profiel en zonder login voordat je de tunnel de schuld geeft.
• Bevestig dat het uitgangsadres veranderde en noteer daarna welke browserwaarden niet.
• Vergelijk dezelfde testvelden voor en na één enkele wijziging, niet de topscore.
• Zet tijdzone en taal goed zodat ze bij je verhaal passen voordat je een extensie toevoegt.
• Kies de laag die bij het doel past: netwerk, browservlak of accounts.