Stránka vás blokuje len so zapnutým VPN? Toto vidí

Obchod sa doma načíta bez problémov a v okamihu, keď sa tunel zdvihne, ukáže stenu „neobvyklého provozu“. Fórum vás odmietne prihlásiť a stránka so streamovaním trvá na tom, že ste v krajine, ktorú ste nikdy nenavštívili. Nič z toho nevyžaduje spyware. Stránka vidí adresu, z ktorej prichádzajú vaše pakety, a s VPN táto adresa patrí dátovému centru, nie domácej linke. Väčšina toho, čo sa nazýva detekcia VPN, začína a končí týmto jediným faktom, a zvyšok je odvodzovanie s predvídateľnou chybovosťou.

Blokovanie začína tým, odkiaľ vaše pakety vyzerajú prichádzať

Každá požiadavka nesie zdrojovú adresu a prijímajúci server ju môže overiť vo verejných dátach: ktorá sieť ju ohlasuje, či je táto sieť poskytovateľom hostingu, či sa objavila na zoznamoch zneužití a ktorú krajinu jej priraďuje register. Nič z toho vás neidentifikuje a všetko dokopy stačí na to, aby vás zaradilo do škatule.

Pozrite sa na svoj provoz očami cudzieho človeka. Dva príkazy pokrývajú väčšinu povrchu a druhý je ten, na ktorý sa zabúda:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Prvý vracia výstupnú adresu, jej organizáciu a krajinu. Druhý vracia adresu resolvera, ktorý dosiahol menový server Google; často ide o inú sieť, než je váš výstup, a je to adresa, ktorú stránka vidí, ak si zaznamenáva dáta na strane resolvera. Keď tieto dve patria rôznym krajinám, niektoré stránky považujú nesúlad za podozrivý, aj keď s vaším nastavením nie je nič zlé.

Keď odmietnutie začne až po zdvihnutí tunela, podozrievajte najskôr výstupnú adresu. Prepnite servery a skúste to znova, než sa dotknete prehliadača. Blokovanie, ktoré vás nasleduje cez tri výstupy toho istého poskytovateľa, sa týka rozsahov poskytovateľa; blokovanie, ktoré na inom serveri zmizne, sa týka tej jednej adresy.

Časové pásmo, jazyk a hodiny nesúhlasia s adresou

Kód stránky môže čítať vaše časové pásmo, jazykové preferencie a nastavenia obrazovky bez akéhokoľvek dotazu na povolenie. Prehliadač hlásajúci stredoeurópsky čas, kým spojenie prichádza z dátového centra v Singapure, je silnejší signál než samotná adresa, a presne taký nesúlad má hodnotenie podvodov zachytiť.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Tie tri riadky v konzole pre vývojárov hovoria, čo váš prehliadač dobrovoľne poskytuje. Klient VPN môže zmeniť vašu trasu a nič iné, takže profil, ktorý nesiete, zostáva tuzemský, kým váš výstup nie. Tu ide o konzistenciu: notebook nastavený na rovnaký región ako výstup vyzerá obyčajne, a ten, čo si odporuje, nie.

Preto je zlyhanie občasné. Mnohým stránkam je to jedno, niekoľko to ohodnotí a jedna členská stránka rozhodne, že ste podvodník. Klient vo všetkých troch prípadoch funguje správne, a preto je obvyklá odpoveď podpory, „určite je to váš prehliadač“, zároveň otravná a čiastočne pravdivá.

Čo kód stránky skutočne vie o vašom počítači

JavaScript nemá žiadne API, ktoré by vymenovalo sieťové rozhrania. Stránka sa nemôže opýtať, aké adresy má váš notebook, takže staré tvrdenie, že skript číta vašu LAN adresu, je väčšinou spomienka na éru pluginov, keď to ovládacie prvky ActiveX, applety Java a iný natívny kód dokázali presne.

WebRTC je úprimná výnimka z pravidla „žiadne úniky lokálnych adries“. Zber jeho kandidátov kedysi vystavoval lokálne adresy každej stránke, ktorá o ne požiadala, a opravou bolo nahradiť hostiteľských kandidátov náhodnými menami mDNS. Toto predvolené nastavenie platí v súčasných prehliadačoch, ale je to rozhodnutie prehliadača, nie záruka protokolu, takže zastaraná zostava alebo utvrdená konfigurácia, ktorá znova zapne lokálnych kandidátov, môže stále unikať. Aktualizácia prehliadača vám tu pomôže viac než akékoľvek rozšírenie.

Váš poskytovateľ vidí názvy, nie obsah

HTTPS chráni obsah stránky od konca do konca a operátor tunela, ktorý tie bajty preposiela, ich nemôže čítať. Operátor stále vidí, na akú adresu ste sa obrátili, a vo väčšine nasadení aj názov servera v handshake, pretože názov musí byť čitateľný, aby spojenie smerovalo na správnu stránku. Encrypted Client Hello existuje práve preto, aby toto pole skrylo, a pomôže len vtedy, keď ho podporuje klient aj stránka.

Preklad názvov je druhá polovica. Ak váš poskytovateľ dodáva aj resolver, vidí každé meno, ktoré hľadáte, skôr než vznikne akékoľvek spojenie. Ak vaše zariadenie používa verejný resolver cez HTTPS, poskytovateľ vidí spojenie s týmto resolverom a nič iné, zatiaľ čo resolver sám vidí zoznam.

Nešifrovaná požiadavka HTTP je pre operátora čitateľná z rovnakého dôvodu, z akého je čitateľná pre hotelovú sieť: nič v nej nie je šifrované. Tunel nikdy netvrdil opak a neopravuje voľbu aplikácie.

Oddeľte „toto je VPN“ od „toto som ja“

Detekcia je lacná, pravdepodobnostná a často chybná. Zdieľané výstupné adresy sa označujú, pretože ich niekto iný zneužil, firemné rozsahy sa klasifikujú ako hosting a mobilní operátori produkujú geografické výsledky, ktoré všetkých prekvapia. Identifikácia je iný problém: vyžaduje trvalé prepojenie, ako účet, do ktorého ste sa prihlásili, cookie, platobný údaj alebo dvoch pozorovateľov porovnávajúcich poznámky.

Rozhodnite, proti čomu vlastne bojujete. Ak je cieľom prečítať stránku, HTTPS už tú prácu vykonáva a tunel mení málo. Ak je cieľom zabrániť stránke vedieť, v ktorom meste ste, záleží na výstupe a resolveri. Ak je cieľom prerušiť väzbu na vašu skutočnú identitu, slabým miestom je účet a zmena serverov nič nerobí s prihlásením, ktoré ste práve použili.

Nový výstup vás nikde neodhlási a nemôže vymazať, čo si o použitom účte stránka už uložila. Praktický postup je preto neokázalý: vyberte výstup, ktorého sieť vyzerá obyčajne, držte profil prehliadača v súlade s ním, aktualizujte prehliadač, aby funkcie náchylné na úniky používali svoje moderné predvolené hodnoty, a prijmite, že malý počet stránok vás bude stále odhadovať nesprávne.