Gjer ein anonym VPN-konto trafikken din anonym?
Registrering utan e-post endrar eitt felt i eit skjema. Kildeadressa, tokenet til kontoen og informasjonskapslane til nettlesaren svarar på tre ulike spørsmål.
Registrering utan e-postadresse endrar eitt felt i eit skjema. Ho endrar ikkje kildeadressa på nettet, ikkje identifikatoren tenesta gjev ut internt, og heller ikkje informasjonskapslane nettlesaren din sender til kvar nettstad du besøkjer. Dette er tre atskilde spørsmål, og berre det første handlar om kontoen i det heile. Her er kva kvart lag faktisk held, og kva avgjerd som er di og ikkje leverandøren si.
Behandle anonymitet som ein eigenskap per observatør. Spør kva observatør, og det ærlege svaret endrar seg.
Ein pseudonym konto er framleis ein konto
Ein leverandør kan gje ut eit kontonummer, ein einingsnøkkel eller eit abonnementstoken utan nokon gong å spørje om eit juridisk namn. Det objektet bind likevel sesjonar saman inne i tenesta: same token på same abonnement, gjennom månader.
Kva operatøren kan knyte til det tokenet avheng av andre system. Betalingsopplysningar finst om du betalte på ein sporbar måte, ei støtteadresse finst om du skreiv, og einingsidentifikatorar eller tilkoplingstidspunkt kan finnast i driftsloggar. Ingenting av dette krevst av registreringsskjemaet, og ingenting av det blir utelukka av eit skjema utan e-post. Skjemaet avgjer kva som vart bede om, ikkje kva som finst etterpå.
Å sende inn ein diagnostisk profil eller opne ein støttebillett kan leggje til fleire detaljar enn det opphavlege skjemaet nokon gong bad om.
Kva endepunktet til tunnelen naudsynt ser
Endepunktet avsluttar tilkoplinga di, så det veit kva kildeadresse tilgangsnettet ditt tildelte for den sesjonen, og når sesjonen byrja. Det veit òg kva intern nøkkel eller konto tilkoplinga svarar til, fordi den koplinga avgjer kvar trafikken skal sendast.
Dokumentasjonen til WireGuard er uvanleg direkte her: peer-identitet er den offentlege nøkkelen, ikkje ein skjult eigenskap.
Det som forlèt endepunktet mot ein destinasjon, er ei anna tilkopling. Om utgangsadressa blir delt med andre brukarar, ser nettstaden i den andre enden ei felles adresse i staden for di. Den skilnaden er reell, og han er òg den einaste skilnaden ein delt utgang gjev. Han skjuler ikkje sesjonen din for operatøren, og han smeltar deg ikkje saman med mengda for nokon som kan observere begge endar, og det er nettopp korrelasjonsproblemet som RFC 6973 brukar heile si lengd på.
Kva destinasjonen framleis mottek
Ein nettstad ser utgangsadressa, førespurnaden og alt nettlesaren din frivillig gjev frå seg. Informasjonskapslar, ein allereie innlogga sesjon, eit nettlesaravtrykk og ein lagra konto overlever alle ei VPN-tilkopling uendra, fordi tunnelen ber dei i staden for å erstatte dei.
Å logge inn på ein personleg konto identifiserer deg overfor den nettstaden uansett kva etikett VPN-kontoen ber.
Namneoppslag fortener si eiga line. Om oppslag går til ein resolver operatøren driv, ser operatøren namna du spør etter. Om dei går til ein offentleg resolver, ser den resolvaren dei, og det same gjer alle på vegen som kan observere ukryptert DNS. Uansett er valet av resolver ei personvernavgjerd som registreringsskjemaet ikkje tok for deg.
Kvar korrelasjonen faktisk skjer
Trafikkanalyse treng ikkje sideinnhald. Tilkoplingstidspunkt, overført volum og mønsteret for kva endepunkt som snakkar med kva destinasjon, kan justere ei kjeldekopling mot ei utgangstilkopling når begge sider blir observerte. Ein delt utgang verner deg derfor mot éin observatør og ikkje mot to som samarbeider.
Transportkryptering endrar kva som kan lesast, ikkje kva som kan koplast saman.
Tre spørsmål som erstattar slagordet
Kvart av dei har ein annan eigar, og difor kan eit løfte gjeve på eitt lag ikkje dekkje eit anna. Radene nedanfor er heile argumentet i kompakt form.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Berre den midterste rada handlar om kontoen, og berre delvis. Radene over og under henne blir avgjorde av ruting, av lagring og av din eigen nettlesar.
Les inventarlista, ikkje etiketten
Ein leverandør som publiserer ei datainventarliste, eit lagringsvindauge og ein identitetsarbeidsflyt, har fortalt deg noko som kan kontrollerast. Ein leverandør som seier anonym, har fortalt deg eitt ord. Sjå etter kva som blir samla inn ved registrering, kva som overlever når sesjonen er over, og etter kva prosess data blir overleverte til ein tredjepart.
Manglar desse tre, er etiketten ikkje bevis for noko.
Start med observatøren du faktisk bryr deg om, og følg deretter éi rad i tabellen: kva adresse ser han, kva identifikator held han, kor lenge blir han lagra. Rett rada som sviktar i staden for å gje kontoen nytt namn. Det er det einaste trinnet her som endrar eit resultat.