Uma VPN muda a impressão digital do navegador? O que testar primeiro

Você muda a VPN para outro país, recarrega a loja, e ela continua a cumprimentá-lo pelo nome com o mesmo carrinho. É o momento em que a palavra impressão digital costuma entrar na conversa, muitas vezes seguida de um site de teste que afirma que o seu navegador é um em um milhão. Em vez disso, trate o problema por ordem: em pedidos de página comuns o túnel muda exatamente um campo, o navegador continua a reportar dezenas, e o teste mede algo mais estreito do que parece. Cinco passos separam essas três coisas.

Passo 1: elimine os motivos aborrecidos pelos quais foi reconhecido

Comece com sessão terminada. Abra uma janela privada, visite a mesma página e veja se ela ainda se comporta como se o conhecesse. Cookies, armazenamento local e uma sessão ativa explicam a maioria dos relatos de «ele viu-me através da VPN», e nenhum deles é impressão digital.

Se a página ainda reconhece algo numa janela privada, olhe para o estado visível que levou consigo: a mesma conta noutro separador, uma entrada de formulário guardada, um gestor de palavras-passe a preencher o seu endereço, ou um site que autorizou com um token no URL. Cada um é uma referência guardada, e limpar o perfil remove-a.

Só quando um perfil limpo sem sessão continua a produzir um reconhecimento correlacionado com visitas anteriores vale a pena falar de uma impressão digital. É uma afirmação muito mais estreita do que «a VPN não funciona», e é a que pode realmente testar.

Passo 2: mude a saída e liste o que não mudou

Ligue o túnel e depois verifique o único valor que o túnel deve mover: o endereço que um servidor vê. Qualquer página de consulta de endereço mostra-o, ou leia-o a partir de um ponto final que controla com curl -s https://your-endpoint.example/ip. Qualquer serviço de eco que use vê o pedido, por isso um ponto final que é seu mantém isso fora do registo de outra pessoa. Confirme que mudou. Agora a parte interessante — liste o que o navegador ainda reporta sobre si mesmo, porque quase nada disso viaja no cabeçalho do pacote.

A linha do fuso horário é a que merece uma pausa. É lida do sistema operativo, por isso um túnel que move o seu tráfego para outro continente enquanto o relógio ainda diz a sua cidade produz uma incompatibilidade que é em si mesma uma observação distintiva. O mesmo se aplica a uma lista de idiomas num país e uma saída noutro: não é prova de nada, apenas uma combinação que se destaca. O WebRTC é a exceção na tabela: uma página que abre um canal de média ou de dados pode recolher endereços candidatos, e com o túnel ativo um candidato pode transportar o endereço de saída ou, sem proteção contra fugas, ainda oferecer o seu local.

Passo 3: leia um teste de impressão digital pelo que ele reporta

O Cover Your Tracks da EFF é a primeira paragem habitual. Mostra características que o seu navegador expõe a essa página e dá um veredicto sobre quantos navegadores da sua amostra as partilham. Leia as letras pequenas: a amostra são as pessoas que fizeram o teste, os sinais são os que essa página escolheu recolher, e o veredicto é uma estimativa de bits de entropia, não um censo.

Então «o seu navegador é único» significa único dentro desse conjunto de dados, hoje, com esse conjunto de sondas. Não significa que um site possa deduzir o seu nome, e não é uma propriedade permanente — uma atualização do navegador pode mover o valor sem que toque em nada.

Use o teste como instrumento de medição, não como uma pontuação a otimizar. Registe os valores reportados, mude uma coisa e compare os mesmos campos. Se nada mudou no navegador e as leituras se moveram mesmo assim, a mudança era ruído da amostra, não sua.

Passo 4: mude as características que são realmente suas

Agora pode agir em linhas concretas. A lista de idiomas, o fuso horário e os formatos regionais são definições, e alinhá-los com o local onde diz estar é um comportamento coerente, não um truque. Um perfil de navegador separado por contexto mantém os dados do site e os inícios de sessão à parte, o que trata o reconhecimento do passo 1 de forma mais fiável do que qualquer extensão anti-impressão digital.

Tenha cuidado com o conselho clássico de acrescentar extensões de endurecimento. Cada uma altera a sua superfície observável, e um conjunto de definições invulgares pode torná-lo mais raro em vez de mais comum. Algumas bloqueiam uma API que as páginas podem detetar como ausente; outras deixam uma assinatura remendada distintiva. A popularidade de uma extensão não é prova de que reduza a identificabilidade.

Os navegadores que levam isto a sério fazem algo estruturalmente diferente: normalizam. O Tor Browser procura que cada utilizador reporte os mesmos valores, o Firefox inclui um modo de proteção que reporta valores normalizados de um conjunto pequeno em vez dos seus reais, e o Safari limita o que os sites podem ler. É uma decisão de design aplicada com coerência, e as indicações no guia do W3C sobre impressões digitais explicam porque a normalização supera a aleatorização por utilizador neste problema.

Passo 5: decida de que camada precisava realmente

Três coisas separadas são agrupadas em «esconde-me»: o caminho de rede, a superfície observável do navegador e as suas contas. Uma VPN trata da primeira. Não toca na segunda e não pode ajudar com a terceira — iniciar sessão é o identificador mais direto que existe, e sobrevive a cada mudança de saída.

Se o seu objetivo é que um site não consiga dizer que duas visitas estão relacionadas, também precisa da camada do navegador: um perfil limpo por contexto, definições coerentes e nenhum início de sessão partilhado. Se o seu objetivo é que o site não consiga dizer quem é de todo, esse é um modelo de ameaça em que o Tor Browser, que junta o encaminhamento à normalização ao nível do navegador, é a escolha coerente em vez de um navegador normal atrás de um túnel.

Se o seu objetivo é apenas que o site veja outra cidade e que o seu fornecedor não veja nada, o túnel sozinho é realmente suficiente, e o resultado do teste de impressão digital é irrelevante para esse objetivo. A maior parte da desilusão aqui vem de comprar uma camada e esperar três.

Uma ordem que mantém os passos honestos:

• Reproduza o reconhecimento com um perfil limpo e sem sessão antes de culpar o túnel.
• Confirme que o endereço de saída mudou e depois anote que valores do navegador não.
• Compare os mesmos campos de teste antes e depois de uma única mudança, não a pontuação principal.
• Corrija o fuso horário e o idioma para corresponderem à sua história antes de acrescentar qualquer extensão.
• Escolha a camada que corresponde ao objetivo: rede, superfície do navegador ou contas.