Czy anonimowe konto VPN naprawdę czyni Twój ruch anonimowym?
Rejestracja bez adresu e-mail zmienia jedno pole formularza. Adres źródłowy, token konta i pliki cookie przeglądarki odpowiadają na trzy różne pytania.
Rejestracja bez adresu e-mail zmienia jedno pole formularza. Nie zmienia adresu źródłowego w sieci, nie zmienia identyfikatora, który usługa wydaje wewnętrznie, ani plików cookie, które przeglądarka wysyła do każdej odwiedzanej witryny. To trzy odrębne pytania, a tylko pierwsze dotyczy konta. Poniżej wyjaśniono, co naprawdę przechowuje każda warstwa i która decyzja należy do Ciebie, a nie do dostawcy.
Traktuj anonimowość jako właściwość wobec każdego obserwatora osobno. Zapytaj, którego obserwatora, a uczciwa odpowiedź się zmienia.
Konto pseudonimowe to nadal konto
Dostawca może wydać numer konta, klucz urządzenia lub token subskrypcji, nigdy nie prosząc o imię i nazwisko. Ten obiekt wciąż wiąże sesje wewnątrz usługi: ten sam token w tym samym planie, przez miesiące.
To, co operator może przypisać do tego tokenu, zależy od innych systemów. Zapisy płatności istnieją, jeśli płaciłeś w sposób możliwy do prześledzenia, adres wsparcia istnieje, jeśli pisałeś, a identyfikatory urządzeń lub znaczniki czasu połączeń mogą znajdować się w logach operacyjnych. Niczego z tego nie wymaga formularz rejestracji i niczego z tego nie wyklucza formularz bez e-maila. Formularz określa, o co poproszono, a nie co istnieje później.
Wysłanie profilu diagnostycznego lub otwarcie zgłoszenia do wsparcia może dodać więcej szczegółów, niż kiedykolwiek wymagał pierwotny formularz.
Co punkt końcowy tunelu widzi nieuchronnie
Punkt końcowy kończy Twoje połączenie, więc zna adres źródłowy, który Twoja sieć dostępowa przydzieliła na tę sesję, i wie, kiedy sesja się zaczęła. Wie też, do którego wewnętrznego klucza lub konta przypisane jest to połączenie, bo to przypisanie decyduje, dokąd trafi ruch.
Dokumentacja WireGuard jest tu niezwykle bezpośrednia: tożsamością peera jest klucz publiczny, a nie ukryta cecha.
To, co wychodzi z punktu końcowego w stronę celu, jest innym połączeniem. Jeśli adres wyjściowy jest współdzielony z innymi użytkownikami, witryna po drugiej stronie widzi adres wspólny zamiast Twojego. To rozdzielenie jest realne i jest też jedynym rozdzieleniem, jakie daje współdzielone wyjście. Nie ukrywa Twojej sesji przed operatorem i nie wtapia Cię w tłum dla nikogo, kto może obserwować oba końce, a to dokładnie ten problem korelacji, któremu RFC 6973 poświęca całą swoją długość.
Co cel nadal otrzymuje
Witryna widzi adres wyjściowy, żądanie i wszystko, co Twój klient dobrowolnie ujawni. Pliki cookie, już zalogowana sesja, odcisk przeglądarki i zapisane konto przechodzą przez połączenie VPN bez zmian, bo tunel je przenosi, zamiast ich zastępować.
Zalogowanie się na konto osobiste identyfikuje Cię wobec tej witryny niezależnie od tego, jaką etykietę nosi konto VPN.
Rozwiązywanie nazw zasługuje na osobną linię. Jeśli zapytania idą do resolvera prowadzonego przez operatora, operator widzi nazwy, o które prosisz. Jeśli idą do publicznego resolvera, widzi je ten resolver, a także każdy na ścieżce, kto może obserwować niezaszyfrowany DNS. W każdym razie wybór resolvera jest decyzją o prywatności, której formularz rejestracji nie podjął za Ciebie.
Gdzie korelacja naprawdę zachodzi
Analiza ruchu nie potrzebuje treści stron. Czas połączeń, wolumen transferu i wzorzec tego, który punkt końcowy rozmawia z którym celem, mogą zestawić połączenie źródłowe z połączeniem wyjściowym, gdy obserwowane są obie strony. Współdzielone wyjście chroni więc Cię przed jednym obserwatorem, a nie przed dwoma, którzy współpracują.
Szyfrowanie transportu zmienia to, co da się odczytać, a nie to, co da się powiązać.
Trzy pytania zamiast hasła
Każde z nich ma innego właściciela, dlatego obietnica złożona na jednej warstwie nie może objąć innej. Poniższe wiersze to cały argument w zwięzłej formie.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Tylko środkowy wiersz dotyczy konta i to częściowo. Wiersze powyżej i poniżej zależą od trasowania, retencji i Twojej własnej przeglądarki.
Czytaj inwentarz, a nie etykietę
Dostawca, który publikuje inwentarz danych, okres retencji i proces pracy z tożsamością, powiedział Ci coś sprawdzalnego. Dostawca, który mówi anonimowy, powiedział Ci jedno słowo. Szukaj tego, co zbierane jest przy rejestracji, co zostaje po zakończeniu sesji i według jakiej procedury dane trafiają do strony trzeciej.
Jeśli brakuje tych trzech rzeczy, etykieta nie jest dowodem na nic.
Zacznij od obserwatora, na którym naprawdę Ci zależy, a następnie prześledź jeden wiersz tabeli: który adres widzi, który identyfikator trzyma, jak długo jest przechowywany. Napraw wiersz, który zawodzi, zamiast zmieniać nazwę konta. To jedyny krok, który tutaj zmienia wynik.