Er en anonym VPN-konto noe som gjør trafikken din anonym?
En påmelding uten e-postadresse endrer ett enkelt felt i et skjema. Kildeadressen, tokenet til kontoen og informasjonskapslene i nettleseren svarer på tre forskjellige spørsmål.
Å melde seg på uten e-postadresse endrer ett enkelt felt i et skjema. Det endrer ikke kildeadressen ute på nettet, ikke identifikatoren som tjenesten gir ut internt, og heller ikke informasjonskapslene nettleseren din sender til alle nettsteder du besøker. Dette er tre separate spørsmål, og bare det første har med selve kontoen å gjøre. Nedenfor står det hva hvert lag faktisk holder på, og hvilke valg som er dine og ikke leverandørens.
Se på anonymitet som en egenskap for hver enkelt observatør. Spør hvilken observatør det gjelder, og det ærlige svaret forandrer seg.
En konto med pseudonym er fortsatt en konto
En leverandør kan gi ut et kontonummer, en nøkkel for enheten eller et token for abonnementet uten å kreve et juridisk navn noen gang. Likevel knytter det objektet sesjoner sammen inne i tjenesten: samme token på samme abonnement, gjennom flere måneder.
Hva operatøren kan feste til det tokenet, avhenger av andre systemer. Det finnes betalingsopplysninger dersom du betalte på en måte som kan spores, det finnes en støtteadresse dersom du skrev til dem, og enhetsidentifikatorer eller tidspunkter for tilkobling kan ligge i driftslogger. Ingen av disse kreves av påmeldingsskjemaet, og ingen av dem utelukkes av et skjema uten e-post. Skjemaet avgjør hva som ble spurt om, ikke hva som finnes i ettertid.
Å levere en diagnostisk profil eller åpne en støttesak kan tilføre flere opplysninger enn det opprinnelige skjemaet noen gang ba om.
Hva endepunktet i tunnelen nødvendigvis ser
Endepunktet avslutter forbindelsen din, og vet derfor hvilken kildeadresse tilgangsnettet ditt tildelte for den sesjonen, og når sesjonen startet. Det vet også hvilken intern nøkkel eller konto forbindelsen hører til, fordi nettopp den koblingen avgjør hvor trafikken skal sendes.
Dokumentasjonen til WireGuard er uvanlig tydelig på dette punktet: identiteten til en peer er den offentlige nøkkelen, ikke en skjult egenskap.
Det som forlater endepunktet mot en destinasjon, er en helt annen forbindelse. Dersom utgangsadressen deles med andre brukere, ser nettstedet på den andre siden en felles adresse istedenfor din. Den delingen er reell, og det er også den eneste delingen en felles utgang gir. Den skjuler ikke sesjonen din for operatøren, og den gjør deg ikke usynlig i mengden for noen som kan følge begge ender, og det er akkurat korrelasjonsproblemet som RFC 6973 vier hele sin lengde til.
Hva destinasjonen fortsatt får
Et nettsted ser utgangsadressen, forespørselen og alt klienten din selv velger å oppgi. Informasjonskapsler, en sesjon som allerede er innlogget, et avtrykk fra nettleseren og en lagret konto overlever alle en VPN-forbindelse uten endring, fordi tunnelen frakter dem istedenfor å bytte dem ut.
Logger du inn på en personlig konto, blir du identifisert overfor det nettstedet uansett hvilken merkelapp VPN-kontoen bærer.
Navneoppslag fortjener sin egen linje. Går oppslagene til en oppløser som operatøren driver, ser operatøren navnene du ber om. Går de til en offentlig oppløser, ser den oppløseren dem, og det samme gjør enhver på veien som kan se ukryptert DNS. Uansett er valget av oppløser en personvernbeslutning som påmeldingsskjemaet ikke tok for deg.
Hvor korrelasjonen faktisk finner sted
Trafikkanalyse trenger ikke innholdet på sidene. Tidspunkter for forbindelser, mengden som overføres og mønsteret i hvilket endepunkt som snakker med hvilken destinasjon, kan stille en kildeforbindelse opp mot en utgangsforbindelse når begge sider observeres. En delt utgang beskytter deg derfor mot én observatør, men ikke mot to som samarbeider.
Kryptering av transporten endrer hva som kan leses, ikke hva som kan kobles sammen.
Tre spørsmål istedenfor slagordet
Hvert av dem har en annen eier, og derfor kan ikke et løfte gitt på ett lag dekke et annet. Radene under er hele argumentet i kortform.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Bare den midterste raden handler om kontoen, og det bare delvis. Radene over og under bestemmes av ruting, av hvor lenge data lagres, og av nettleseren din.
Les inventarlisten istedenfor merkelappen
En leverandør som publiserer en liste over data, en oppbevaringsfrist og en arbeidsflyt for identitet, har fortalt deg noe som kan etterprøves. En leverandør som sier anonym, har fortalt deg ett ord. Se etter hva som samles inn ved påmelding, hva som blir igjen når sesjonen er over, og etter hvilken prosess data overlates til en tredjepart.
Mangler disse tre, er merkelappen ikke bevis for noe som helst.
Begynn med observatøren du virkelig bryr deg om, og følg så én rad i tabellen: hvilken adresse ser den, hvilken identifikator holder den på, hvor lenge lagres den. Rett opp raden som svikter istedenfor å gi kontoen et nytt navn. Det er det eneste trinnet her som forandrer et resultat.