Sajt vas blokira samo kada je VPN uključen? Evo šta vidi

Prodavnica se kod kuće učitava bez problema i pokazuje zid «neobičnog saobraćaja» u trenutku kada se tunel podigne. Forum vas odbija pri prijavi, a stranica za strimovanje tvrdi da ste u zemlji koju nikada niste posjetili. Ništa od toga ne zahtijeva špijunski softver. Sajt vidi adresu s koje dolaze vaši paketi, a uz VPN ta adresa pripada data centru, a ne kućnoj liniji. Većina onoga što nazivaju detekcijom VPN-a počinje i završava se tim jednim faktom, a ostatak je zaključivanje s predvidivom stopom greške.

Blokada počinje od toga odakle izgleda da dolaze vaši paketi

Svaki zahtjev nosi izvornu adresu, a serverska strana je može provjeriti u javnim podacima: koja mreža je objavljuje, je li ta mreža hosting provajder, je li se pojavila na listama zloupotrebe i koju zemlju dodjeljuje registar. Ništa od toga vas ne identifikuje, a sve to zajedno dovoljno je da vas svrsta u kategoriju.

Pogledajte svoj saobraćaj očima stranca. Dvije komande pokrivaju većinu površine, a druga je ona koju ljudi zaboravljaju:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Prva vraća izlaznu adresu, organizaciju i zemlju. Druga vraća adresu resolvera koji je stigao do Google-ovog imenskog servera; ona često pripada drugoj mreži od vašeg izlaza i to je adresa koju sajt vidi ako bilježi podatke na strani resolvera. Kada te dvije pripadaju različitim zemljama, neki sajtovi taj nesklad smatraju sumnjivim, iako s vašim postavljanjem nema ništa loše.

Kada odbijanje počne tek nakon podizanja tunela, posumnjajte prije svega na izlaznu adresu. Promijenite servere i pokušajte ponovo prije nego što dirate preglednik. Blokada koja vas prati kroz tri izlaza istog provajdera tiče se raspona provajdera; blokada koja nestane na drugom serveru tiče se te jedne adrese.

Vremenska zona, jezik i sat ne slažu se s adresom

Kod stranice može pročitati vašu vremensku zonu, jezičke postavke i postavke ekrana bez ikakvog traženja dozvole. Preglednik koji prijavljuje srednjoevropsko vrijeme dok veza dolazi iz data centra u Singapuru jači je signal od same adrese i upravo je to vrsta nesklada za koju je napravljeno ocjenjivanje prevara.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Ta tri reda u konzoli za developere govore šta vaš preglednik dobrovoljno daje. VPN klijent može promijeniti vašu rutu i ništa drugo, pa profil koji nosite ostaje domaći dok vaš izlaz nije. Ovdje je važna dosljednost: laptop postavljen na istu regiju kao izlaz izgleda obično, a laptop koji sam sa sobom nije saglasan ne izgleda tako.

Zbog toga je otkaz povremen. Mnoge sajtove to ne zanima, nekoliko ih ocjenjuje, a jedan sajt s članstvom odluči da ste prevarant. Klijent ispravno radi u sva tri slučaja, zato je uobičajeni odgovor podrške, «sigurno je vaš preglednik», i dosadan i dijelom istinit.

Šta kod stranice zapravo zna o vašoj mašini

JavaScript nema API koji nabraja mrežne interfejse. Stranica ne može pitati koje adrese ima vaš laptop, pa je stara tvrdnja da skripta čita vašu LAN adresu uglavnom sjećanje na eru dodataka, kada su ActiveX kontrole, Java apleti i drugi nativni kod mogli upravo to.

WebRTC je iskrena iznimka od pravila «nema curenja lokalnih adresa». Njegovo prikupljanje kandidata nekada je izlagalo lokalne adrese svakoj stranici koja je pitala, a popravka je bila zamijeniti hostske kandidate slučajnim mDNS imenima. To zadano ponašanje vrijedi u aktuelnim preglednicima, ali je odluka preglednika, a ne garancija protokola, pa zastarjela verzija ili ojačana konfiguracija koja ponovo uključi lokalne kandidate još može procuriti. Ažuriranje preglednika ovdje vam pomaže više od bilo kojeg proširenja.

Vaš provajder vidi imena, ne sadržaj

HTTPS štiti sadržaj stranice od početka do kraja, a operater tunela koji prenosi te bajtove ne može ih pročitati. Operater još uvijek može vidjeti koju ste adresu kontaktirali, a u većini postavki i ime servera u rukovanju, jer ime mora biti čitljivo da bi se veza usmjerila na pravi sajt. Encrypted Client Hello postoji upravo da sakrije to polje i pomaže samo kada ga podržavaju i klijent i sajt.

Razrješavanje imena je druga polovina. Ako vaš provajder ujedno daje resolver, on vidi svako ime koje tražite prije nego što ikakva veza postoji. Ako vaš uređaj koristi javni resolver preko HTTPS-a, provajder vidi vezu s tim resolverom i ništa drugo, dok sam resolver vidi spisak.

Nešifrirani HTTP zahtjev čitljiv je operateru iz istog razloga iz kojeg je čitljiv hotelskoj mreži: ništa u njemu nije šifrirano. Tunel nikada nije tvrdio suprotno i ne popravlja izbor aplikacije.

Razdvojite «ovo je VPN» od «ovo sam ja»

Detekcija je jeftina, vjerovatnosna i često pogrešna. Dijeljene izlazne adrese označavaju se jer ih je neko drugi zloupotrijebio, korporativni rasponi klasifikuju se kao hosting, a mobilni operateri daju geo rezultate koji iznenade svakoga. Identifikacija je drugi problem: treba joj trajna veza, poput računa na koji ste se prijavili, kolačića, podatka o plaćanju ili dva posmatrača koji upoređuju bilješke.

Odlučite protiv čega se zapravo borite. Ako je cilj pročitati stranicu, HTTPS već obavlja taj posao i tunel malo mijenja. Ako je cilj spriječiti sajt da zna u kojem ste gradu, izlaz i resolver su ono što je važno. Ako je cilj prekinuti vezu s vašim stvarnim identitetom, slaba tačka je račun, a promjena servera ne čini ništa u vezi s prijavom koju ste upravo koristili.

Novi izlaz vas ni iz čega ne odjavljuje i ne može izbrisati ono što je sajt već sačuvao o računu koji ste koristili. Praktični redoslijed je zato neblistav: izaberite izlaz čija mreža izgleda obično, držite profil preglednika usklađen s njim, ažurirajte preglednik da bi funkcije sklone curenju koristile svoje moderne zadane vrijednosti i prihvatite da će mali broj sajtova i dalje pogrešno nagađati o vama.