Uma conta VPN anónima torna o seu tráfego anónimo?
Um registo sem e-mail altera um campo de um formulário. O endereço de origem, o token da conta e os cookies do navegador respondem a três perguntas diferentes.
Um registo sem endereço de e-mail altera um campo de um formulário. Não altera o endereço de origem na rede, nem o identificador que o serviço emite internamente, nem os cookies que o seu navegador envia a cada site que visita. São três perguntas separadas, e só a primeira diz respeito à conta. A seguir está o que cada camada realmente guarda, e que decisão pertence a si e não ao fornecedor.
Trate o anonimato como uma propriedade em relação a cada observador. Pergunte qual observador, e a resposta honesta muda.
Uma conta pseudónima continua a ser uma conta
Um fornecedor pode emitir um número de conta, uma chave de dispositivo ou um token de subscrição sem nunca pedir um nome legal. Esse objeto continua a ligar sessões dentro do serviço: o mesmo token no mesmo plano, durante meses.
O que o operador pode associar a esse token depende de outros sistemas. Existem registos de pagamento se pagou por um método rastreável, existe um endereço de suporte se escreveu, e podem existir identificadores de dispositivo ou marcas temporais de ligação nos registos operacionais. Nada disso é exigido pelo formulário de registo, e nada disso é excluído por um formulário sem e-mail. O formulário determina o que foi pedido, não o que existe depois.
Enviar um perfil de diagnóstico ou abrir um ticket de suporte pode acrescentar mais detalhe do que o formulário original alguma vez pediu.
O que a extremidade do túnel vê necessariamente
A extremidade termina a sua ligação, por isso sabe que endereço de origem a sua rede de acesso atribuiu para essa sessão e quando a sessão começou. Sabe também a que chave interna ou conta corresponde essa ligação, porque é esse mapeamento que decide para onde enviar o tráfego.
A documentação do WireGuard é invulgarmente direta aqui: a identidade do par é a chave pública, não um traço oculto.
O que sai da extremidade em direção a um destino é outra ligação. Se o endereço de saída for partilhado com outros utilizadores, o site do outro lado vê um endereço comum em vez do seu. Essa separação é real, e é também a única separação que uma saída partilhada oferece. Não esconde a sua sessão ao operador nem o funde com a multidão para quem possa observar ambas as extremidades, e é exatamente o problema de correlação a que RFC 6973 dedica toda a sua extensão.
O que o destino ainda recebe
Um site vê o endereço de saída, o pedido e tudo o que o seu cliente entrega voluntariamente. Os cookies, uma sessão já iniciada, uma impressão digital do navegador e uma conta guardada sobrevivem a uma ligação VPN sem alterações, porque o túnel transporta-os em vez de os substituir.
Iniciar sessão numa conta pessoal identifica-o perante esse site, independentemente da etiqueta que a conta VPN tenha.
A resolução de nomes merece a sua própria linha. Se as consultas forem para um resolutor operado pelo fornecedor, o fornecedor vê os nomes que pede. Se forem para um resolutor público, esse resolutor vê-os, e também qualquer pessoa no caminho que consiga observar DNS não cifrado. Em qualquer caso, qual resolutor é usado é uma decisão de privacidade que o formulário de registo não tomou por si.
Onde a correlação acontece realmente
A análise de tráfego não precisa do conteúdo das páginas. O momento das ligações, o volume transferido e o padrão de que extremidade fala com que destino podem alinhar uma ligação de origem com uma ligação de saída quando ambos os lados são observados. Uma saída partilhada protege-o, portanto, de um observador e não de dois que cooperem.
A cifragem do transporte muda o que pode ser lido, não o que pode ser ligado.
Três perguntas em vez do slogan
Cada uma tem um responsável diferente, e por isso uma promessa feita numa camada não pode cobrir outra. As linhas abaixo são todo o argumento em forma compacta.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Só a linha do meio diz respeito à conta, e só em parte. As linhas acima e abaixo são decididas pelo encaminhamento, pela retenção e pelo seu próprio navegador.
Leia o inventário, não o rótulo
Um fornecedor que publica um inventário de dados, uma janela de retenção e um fluxo de trabalho de identidade disse-lhe algo verificável. Um fornecedor que diz anónimo disse-lhe uma palavra. Procure o que é recolhido no registo, o que sobrevive quando a sessão termina e segundo que procedimento os dados são entregues a terceiros.
Se faltarem essas três coisas, o rótulo não é prova de nada.
Comece pelo observador que realmente lhe importa, e depois siga uma linha da tabela: que endereço vê, que identificador guarda, durante quanto tempo é conservado. Corrija a linha que falha em vez de mudar o nome da conta. É o único passo aqui que muda um resultado.