Vas spletno mesto blokira samo z vklopljenim VPN? To je, kar vidi

Trgovina se doma naloži brez težav in v trenutku, ko se tunel dvigne, pokaže zid »nenavadnega prometa«. Forum vam noče dovoliti prijave, stran s pretakanjem pa vztraja, da ste v državi, ki je niste nikoli obiskali. Nič od tega ne zahteva vohunskega programa. Spletno mesto vidi naslov, s katerega prihajajo vaši paketi, in z VPN ta naslov pripada podatkovnemu centru, ne domači liniji. Večina tega, čemur se reče zaznavanje VPN, se začne in konča s tem enim dejstvom, ostalo pa je sklepanje s predvidljivo stopnjo napake.

Blokada se začne pri tem, od kod se zdi, da prihajajo vaši paketi

Vsaka zahteva nosi izvorni naslov, strežnik, ki jo prejme, pa ga lahko preveri v javnih podatkih: katero omrežje ga oglašuje, ali je to omrežje ponudnik gostovanja, ali se je pojavilo na seznamih zlorab in katero državo mu dodeli register. Nič od tega vas ne identificira, vse skupaj pa je dovolj, da vas uvrsti v kategorijo.

Poglejte svoj promet, kot bi ga gledal tujec. Dva ukaza pokrijeta večino površine, drugi pa je tisti, ki ga ljudje pozabijo:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Prvi vrne izhodni naslov, njegovo organizacijo in državo. Drugi vrne naslov resolverja, ki je dosegel Googlov imenski strežnik; ta pogosto pripada drugemu omrežju kot vaš izhod in je naslov, ki ga spletno mesto vidi, če beleži podatke na strani resolverja. Ko ta dva pripadata različnim državam, nekatera spletna mesta neskladje štejejo za sumljivo, tudi če z vašo nastavitvijo ni nič narobe.

Ko se zavrnitev začne šele po dvigu tunela, najprej sumite izhodni naslov. Zamenjajte strežnik in poskusite znova, preden se dotaknete brskalnika. Blokada, ki vas spremlja skozi tri izhode istega ponudnika, se nanaša na razpone ponudnika; blokada, ki izgine na drugem strežniku, se nanaša na ta en naslov.

Časovni pas, jezik in ura se ne ujemajo z naslovom

Koda strani lahko prebere vaš časovni pas, jezikovne nastavitve in nastavitve zaslona brez kakršne koli zahteve za dovoljenje. Brskalnik, ki poroča srednjeevropski čas, medtem ko povezava prihaja iz podatkovnega centra v Singapurju, je močnejši signal kot naslov sam, in prav takšno neskladje je zasnovano za zaznavanje ocenjevanja goljufij.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Te tri vrstice v konzoli za razvijalce povedo, kaj vaš brskalnik prostovoljno daje. Odjemalec VPN lahko spremeni vašo pot in nič drugega, zato profil, ki ga nosite, ostane domač, medtem ko vaš izhod ni. Tu šteje doslednost: prenosnik, nastavljen na isto regijo kot izhod, je videti običajen, tisti, ki si nasprotuje, pa ne.

Zato je napaka občasna. Mnogim spletnim mestom je vseeno, nekaj jih to oceni, eno člansko mesto pa odloči, da ste goljuf. Odjemalec v vseh treh primerih deluje pravilno, zato je običajen odgovor podpore, »to je zagotovo vaš brskalnik«, hkrati nadležen in delno resničen.

Kaj koda strani v resnici ve o vašem računalniku

JavaScript nima nobenega API-ja, ki bi našteval omrežne vmesnike. Stran ne more vprašati, kakšne naslove ima vaš prenosnik, zato je stara trditev, da skript bere vaš naslov LAN, večinoma spomin na obdobje vtičnikov, ko so lahko to počeli element ActiveX, apleti Java in druga izvorna koda.

WebRTC je poštena izjema pri pravilu »brez uhajanja lokalnih naslovov«. Zbiranje njegovih kandidatov je nekoč razkrivalo lokalne naslove vsaki strani, ki je to zahtevala, popravek pa je bil zamenjati gostiteljske kandidate z naključnimi imeni mDNS. Ta privzeta nastavitev velja v trenutnih brskalnikih, vendar je odločitev brskalnika in ne garancija protokola, zato lahko zastarela različica ali utrjena konfiguracija, ki znova omogoči lokalne kandidate, še vedno uhaja. Posodobitev brskalnika vam tukaj pomaga bolj kot katera koli razširitev.

Vaš ponudnik vidi imena, ne vsebine

HTTPS ščiti vsebino strani od konca do konca, operater tunela, ki te bajte posreduje, pa jih ne more prebrati. Operater še vedno vidi, na kateri naslov ste se povezali, in v večini namestitev tudi ime strežnika v rokovanju, ker mora biti ime berljivo, da se povezava usmeri na pravo spletno mesto. Encrypted Client Hello obstaja prav zato, da skrije to polje, in pomaga le, kadar ga podpirata odjemalec in spletno mesto.

Razreševanje imen je druga polovica. Če vaš ponudnik zagotavlja tudi resolver, vidi vsako ime, ki ga iščete, preden obstaja kakršna koli povezava. Če vaša naprava uporablja javni resolver prek HTTPS, ponudnik vidi povezavo s tem resolverjem in nič drugega, medtem ko seznam vidi resolver sam.

Nešifrirana zahteva HTTP je za operaterja berljiva iz istega razloga, iz katerega je berljiva za hotelsko omrežje: nič v njej ni šifrirano. Tunel ni nikoli trdil nasprotnega in ne popravlja izbire aplikacije.

Ločite »to je VPN« od »to sem jaz«

Zaznavanje je poceni, verjetnostno in pogosto napačno. Deljeni izhodni naslovi so označeni, ker jih je nekdo drug zlorabil, korporativni razponi so razvrščeni kot gostovanje, mobilni operaterji pa ustvarjajo geografske rezultate, ki presenetijo vse. Identifikacija je druga težava: potrebuje trajno povezavo, kot je račun, v katerega ste prijavljeni, piškotek, podatek o plačilu ali dva opazovalca, ki primerjata zapiske.

Odločite se, proti kateremu od obeh se v resnici borite. Če je cilj prebrati stran, HTTPS to delo že opravlja, tunel pa malo spremeni. Če je cilj preprečiti spletnemu mestu, da ve, v katerem mestu ste, sta pomembna izhod in resolver. Če je cilj pretrgati vez z vašo pravo identiteto, je šibka točka račun, zamenjava strežnikov pa ne naredi ničesar za prijavo, ki ste jo pravkar uporabili.

Nov izhod vas nikjer ne odjavi in ne more izbrisati tega, kar je spletno mesto že shranilo o uporabljenem računu. Praktično zaporedje je zato nebleščeče: izberite izhod, katerega omrežje je videti običajno, ohranjajte profil brskalnika skladen z njim, posodobite brskalnik, da bodo funkcije, nagnjene k uhajanju, uporabljale svoje sodobne privzete vrednosti, in sprejmite, da vas bo majhno število spletnih mest še vedno napačno ocenilo.