Je VPN staat aan, maar de app weet nog steeds waar je bent

Je zet de VPN aan, opent de app, en die toont nog steeds de stad waar je staat. Er is niets kapot. De app meldt iets wat hij al weet in plaats van te kijken hoe je verkeer uit de tunnel ontsnapt. In dat resultaat zitten twee verschillende vragen verborgen, en ze door elkaar halen stuurt mensen op pad om de client opnieuw te installeren.

Wat de app werkelijk heeft ontvangen

Een positie op een scherm kan van minstens vier plekken komen. Een locatiebepaling van het apparaat, een geschatte stad afgeleid van je IP-adres, een adres dat in je account is opgeslagen, of iets wat je in een formulier hebt getypt.

Een locatiebepaling van het apparaat is wat mensen bedoelen als ze zeggen dat de app weet waar ze zijn. Op een telefoon is dat GPS, wifi-scans en mobiele data die het systeem combineert; op een laptop is het meestal een opzoeking in een wifi-database. Dat alles komt binnen via een machtiging die de app vroeg en jij gaf. De tunnel komt er nooit aan te pas.

Accountgegevens zijn de sluwere bron. Een bezorgapp die je huisadres al opslaat, heeft geen sensor nodig om het je opnieuw te tonen.

Waarom de tunnel dit niet kan afdekken

Een VPN vervangt het adres waar je verkeer vandaan lijkt te komen. Hij raakt het machtigingsmodel, de sensoren of de accountregistratie op de server niet aan. Gegevens die de app lokaal verzamelt en daarna uploadt, reizen binnen de versleutelde verbinding, en daar is die verbinding juist voor. De server die ze ontvangt, leert de inhoud kennen omdat de app ervoor koos die te versturen.

Denk aan een naam die in een formulier is getypt. De tunnel verbergt de envelop, niet de brief.

Daarom kan een adrescontrole in een browser het oneens zijn met een app. De browser meldt het uitgangsadres; de app meldt een sensorwaarde. Beide zijn juiste antwoorden op verschillende vragen.

Machtiging, recht en wat het platform toestaat

Apple’s locatiebeheer voor de Mac is een nuttige referentie, want die legt uit waar het getal vandaan komt: apps gebruiken Location Services, en de Mac schat zijn positie op basis van wifi-netwerken in de buurt. Dezelfde pagina merkt op dat apps en websites andere methoden kunnen gebruiken, zelfs als Location Services uit staat. Dat voorbehoud is het hele verhaal in één regel.

Op telefoons is de verdeling vergelijkbaar. Een app heeft wel of geen locatiemachtiging, en het platform bepaalt wat hij mag lezen. Een VPN-client is geen machtigingsbeheerder en kan de toestemming van een andere app niet intrekken.

Taal, tijdzone en locale zijn op zichzelf zwakke signalen. Ze verschuiven waar een dienst gokt, niet waar jij bent.

Hoe een echt lek eruitziet

Echte lekken zijn het waard om apart te houden, omdat ze andere symptomen hebben: je echte adres dat opduikt in de eigen diagnostiek van een pagina, DNS-query’s die via je provider worden opgelost, IPv6-verkeer dat buiten de tunnel gaat, of een split-tunnelregel die de app uitsluit waar je om gaf. Die fouten tonen een host die je niet wilde benaderen, en ze veranderen wanneer je de VPN uitzet.

Het teken is de richting van de verrassing. Een lek onthult aan een vreemde wie je bent, terwijl een inzending van de app onthult wat de app al had.

Test het eerste geval door te vergelijken wat een site over je adres meldt met wat het VPN-dashboard over de verbonden sessie zegt. Test het tweede door te kijken wat je accountprofiel bevat.

Wat je in de komende tien minuten moet controleren

Open het machtigingsitem van de app en lees de locatie-instelling. Als die is toegestaan en je wilt niet dat de app een positie heeft, zet hem dan op bij benadering of weiger hem, en herlaad daarna de app zodat hij ophoudt een gecachte bepaling te gebruiken. Kijk dan naar het opgeslagen adres en de uploadvelden, want het intrekken van een machtiging wist geen waarde die de server al heeft. Controleer ten slotte de split-tunnellijst van de VPN-client, zodat je weet welke apps de tunnel omzeilen.

Doe die drie op volgorde en de onduidelijkheid valt meestal vanzelf weg.

Als de positie dit alles overleeft en het VPN-dashboard nog steeds een gezonde sessie toont, kijk je naar opgeslagen gegevens en niet naar een lek. Je uitgangsland wijzigen zal het niet verplaatsen. Het opgeslagen waarde verwijderen, of het accountveld dat die heeft gemaakt, is de enige stap die dat wel doet.