Stopt een VPN het volgen door websites? Wat nog steeds werkt

Een VPN verandert het adres waar je verkeer vandaan komt. Hij verandert niet de cookie die je browser verstuurt, niet het account waarop je bent ingelogd en niet de identificatie die in de link zit waarop je hebt geklikt. Daarom kan een site je bij naam begroeten terwijl je uitgaande adres in een ander land ligt. De controles hieronder scheiden netwerkidentiteit van al het andere, in de volgorde die de echte oorzaak het snelst vindt.

Wat de tunnel verandert en wat niet

De tunnel vervangt bij de uitgang je bronadres en versleutelt wat het lokale netwerk van je verkeer kan zien. Beide zijn nuttig, en beide zijn smal. Alles boven de IP-laag, dus het HTTP-verzoek dat je browser echt bouwt, komt ongewijzigd bij de site aan.

Dat omvat cookies, autorisatieheaders, de URL en de TLS-vingerafdruk van je client.

De vraag is dus niet of de VPN werkt. De vraag is welke identificatie de site gebruikte, en dat is te beantwoorden door één laag tegelijk te testen.

Stap 1: scheid accountidentiteit van netwerkidentiteit

Log overal uit, of gebruik een browserprofiel dat nooit is ingelogd, en herhaal het bezoek via de tunnel. Als de site je niet meer herkent, was de identificatie een cookie of een account, en was de VPN nooit de relevante controle. Als ze je nog steeds herkent, zoek dan naar een andere opgeslagen identificatie voordat je naar vingerafdrukken grijpt. Een winkelwagen, een opgeslagen voorkeur of een sessietoken in lokale opslag verklaart de meeste van deze gevallen.

Een privévenster isoleert de cookiepot voor dat venster. Het maakt een login die je daarin doet niet anoniem.

Stap 2: zoek identificaties in de link

Links in nieuwsbrieven dragen standaard een abonneetoken, en campagnelinks dragen parameters. Open er een via welke uitgang je maar wilt en de bestemming ontvangt het token nog steeds, omdat het token deel is van het verzoek en niet van de route. Externe afbeeldingen in e-mail werken hetzelfde, gebonden aan één specifiek bericht.

Verwijder de query-string wanneer je kunt, en zet externe inhoud uit in de mailclient.

Dezelfde logica geldt voor informatie die je vrijwillig geeft. Een opgeslagen adres, een telefoonnummer dat in een formulier is getypt of een verwijzing naar een supportticket identificeert je na elke IP-wijziging. Denk aan wie de gegevens ontvangt, niet alleen aan welke weg ze hebben afgelegd.

Stap 3: lees het vingerafdrukoppervlak eerlijk

Vingerafdrukken combineren waarneembare kenmerken van browser en apparaat: user agent, schermgeometrie, geïnstalleerde lettertypen, tijdzone, canvas-uitvoer. Een gewone VPN standaardiseert daar niets van, dus het verwijderen van één cookie haalt de andere signalen niet weg. Daaruit volgt ook niet dat elke herkenning een vingerafdruk is. Het gewone geval is een opgeslagen identificatie die je bent vergeten.

Test met een vingerafdrukchecker en lees het resultaat als een steekproef, niet als een certificaat. Die hulpmiddelen meten een methode tegen een dataset, en ze kunnen niet beloven dat geen enkele site ooit twee bezoeken koppelt. Behandel de score als een hint over welke oppervlakken in jouw opstelling ongewoon lijken.

Het oppervlak verkleinen is meer waard dan welke afzonderlijke instelling dan ook: minder extensies, een actuele browserversie en profielen die je bewust gescheiden houdt.

Stap 4: verifieer met een voor-en-na-test

Voer dezelfde controle twee keer uit, één keer buiten de tunnel en één keer erin, en vergelijk de antwoorden, niet je verwachtingen.

curl -s https://ifconfig.me; echo
curl -s https://ipinfo.io/ip

Het uitgaande adres zou moeten veranderen, en de resolver die de site ziet zou bij de VPN moeten horen wanneer je DNS door de tunnel gaat. Als het adres verandert en de resolver niet, heb je een gesplitst DNS-pad dat domeinvragen lekt, en dat is een configuratiefout, geen volgmechanisme. Controleer WebRTC apart in de browser, want in sommige configuraties kan het adressen blootleggen, en het enige eerlijke antwoord is dat wat je eigen test teruggeeft.

Herhaal daarna de account- en linktests. Een site die je na alle vier stappen herkent, gebruikt iets wat je nog steeds verstuurt, en de volgende stap is dat ding vinden in plaats van weer van server te wisselen.

Houd de twee resultaten naast elkaar. Een privacycontrole zonder basislijn is gewoon een gok.