Czy VPN powstrzymuje śledzenie przez strony internetowe? Co nadal działa

VPN zmienia adres, z którego pochodzi Twój ruch. Nie zmienia pliku cookie wysyłanego przez przeglądarkę, konta, na którym jesteś zalogowany, ani identyfikatora osadzonego w linku, w który kliknąłeś. Dlatego strona może zwrócić się do Ciebie po imieniu, podczas gdy Twój adres wyjściowy znajduje się w innym kraju. Poniższe kontrole oddzielają tożsamość sieciową od wszystkiego innego, w kolejności, która najszybciej znajduje prawdziwą przyczynę.

Co tunel zmienia, a czego nie

Tunel zastępuje Twój adres źródłowy na wyjściu i szyfruje to, co sieć lokalna może zobaczyć z Twojego ruchu. Oba są przydatne i oba są wąskie. Wszystko powyżej warstwy IP, czyli żądanie HTTP, które Twoja przeglądarka naprawdę buduje, dociera do strony bez zmian.

Obejmuje to pliki cookie, nagłówki autoryzacji, adres URL i odcisk TLS Twojego klienta.

Pytanie nie brzmi więc, czy VPN działa. Brzmi, którego identyfikatora użyła strona, a na to można odpowiedzieć, testując jedną warstwę naraz.

Krok 1: oddziel tożsamość konta od tożsamości sieciowej

Wyloguj się wszędzie albo użyj profilu przeglądarki, który nigdy się nie logował, i powtórz wizytę przez tunel. Jeśli strona już Cię nie rozpoznaje, identyfikatorem był plik cookie lub konto, a VPN nigdy nie był właściwą kontrolą. Jeśli nadal Cię rozpoznaje, poszukaj innego zapisanego identyfikatora, zanim sięgniesz po odciski palców. Koszyk, zapisane ustawienie lub token sesji w pamięci lokalnej wyjaśniają większość takich przypadków.

Okno prywatne izoluje słoik plików cookie dla tego okna. Nie czyni anonimowym logowania, którego w nim dokonujesz.

Krok 2: szukaj identyfikatorów wewnątrz linku

Linki w newsletterach zwykle niosą token subskrybenta, a linki kampanii niosą parametry. Otwórz jeden przez dowolne wyjście, a cel nadal otrzymuje token, ponieważ token jest częścią żądania, a nie trasy. Obrazy zdalne w e-mailu działają tak samo, powiązane z jedną konkretną wiadomością.

Usuń ciąg zapytania, kiedy możesz, i wyłącz zdalną zawartość w kliencie poczty.

Ta sama logika dotyczy informacji, których udzielasz dobrowolnie. Zapisany adres, numer telefonu wpisany w formularz lub referencja zgłoszenia do pomocy technicznej identyfikują Cię po każdej zmianie IP. Pomyśl, kto otrzymuje dane, a nie tylko, jaką drogą szły.

Krok 3: czytaj powierzchnię odcisku uczciwie

Odcisk łączy obserwowalne cechy przeglądarki i urządzenia: user agent, geometrię ekranu, zainstalowane czcionki, strefę czasową, wynik canvas. Konwencjonalny VPN niczego z tego nie standaryzuje, więc usunięcie jednego pliku cookie nie usuwa pozostałych sygnałów. Nie wynika z tego również, że każde rozpoznanie to odcisk. Typowy przypadek to zapisany identyfikator, o którym zapomniałeś.

Przetestuj narzędziem do odcisków i czytaj wynik jako próbkę, a nie certyfikat. Te narzędzia mierzą metodę względem zbioru danych i nie mogą obiecać, że żadna strona nigdy nie połączy dwóch wizyt. Traktuj wynik jako wskazówkę, które powierzchnie w Twojej konfiguracji wyglądają nietypowo.

Zmniejszenie powierzchni jest warte więcej niż jakiekolwiek pojedyncze ustawienie: mniej rozszerzeń, aktualna wersja przeglądarki i profile, które celowo trzymasz osobno.

Krok 4: zweryfikuj testem przed i po

Wykonaj tę samą kontrolę dwa razy, raz poza tunelem i raz w nim, i porównaj odpowiedzi, a nie swoje oczekiwania.

curl -s https://ifconfig.me; echo
curl -s https://ipinfo.io/ip

Adres wyjściowy powinien się zmienić, a resolver widziany przez stronę powinien należeć do VPN, gdy Twój DNS przechodzi przez tunel. Jeśli adres się zmienia, a resolver nie, masz rozdzieloną ścieżkę DNS, która wycieka zapytania o domeny, i to jest błąd konfiguracji, a nie mechanizm śledzenia. Sprawdź WebRTC osobno w przeglądarce, ponieważ w niektórych konfiguracjach może ujawniać adresy, a jedyną uczciwą odpowiedzią jest ta, którą zwraca Twój własny test.

Potem powtórz testy konta i linku. Strona, która rozpoznaje Cię po wszystkich czterech krokach, używa czegoś, co nadal wysyłasz, a następny ruch to znalezienie tej rzeczy, a nie kolejna zmiana serwera.

Trzymaj oba wyniki obok siebie. Kontrola prywatności bez linii bazowej to tylko domysł.