A ju bllokon faqja vetëm me VPN të ndezur? Kjo është ajo që sheh

Dyqani hapet mirë në shtëpi dhe tregon një mur «trafiku të pazakontë» në momentin që tuneli ngrihet. Një forum refuzon t'ju japë akses, dhe një faqe transmetimi këmbëngul se jeni në një vend që nuk e keni vizituar kurrë. Asnjëra prej tyre nuk kërkon softuer spiun. Një faqe sheh adresën nga e cila vijnë paketat tuaja, dhe me një VPN ajo adresë i përket një qendre të dhënash, jo një linje shtëpiake. Pjesa më e madhe e asaj që quhet zbulim VPN fillon dhe mbaron me atë fakt të vetëm, dhe pjesa tjetër është konkluzion me një shkallë të parashikueshme gabimi.

Bllokimi fillon nga vendi se nga duket se vijnë paketat tuaja

Çdo kërkesë mbart një adresë burimi, dhe serveri që e merr mund ta kërkojë në të dhëna publike: cili rrjet e shpall, nëse ai rrjet është ofrues hostimi, nëse është shfaqur në lista abuzimi dhe cilin vend i cakton regjistri. Asnjëra prej tyre nuk ju identifikon, dhe të gjitha bashkë mjaftojnë për t'ju vendosur në një kategori.

Shikoni trafikun tuaj si do ta shihte një i huaj. Dy komanda mbulojnë pjesën më të madhe të sipërfaqes, dhe e dyta është ajo që njerëzit harrojnë:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

E para kthen adresën e daljes, organizatën dhe vendin e saj. E dyta kthen adresën e resolver-it që arriti serverin e emrave të Google; ajo shpesh i përket një rrjeti të ndryshëm nga dalja juaj, dhe është adresa që sheh një faqe nëse regjistron të dhëna në anën e resolver-it. Kur këto të dyja i përkasin vendeve të ndryshme, disa faqe e konsiderojnë mospërputhjen të dyshimtë, edhe pse nuk ka asgjë të gabuar në konfigurimin tuaj.

Kur refuzimi fillon vetëm pasi tuneli ngrihet, dyshoni së pari te adresa e daljes. Ndryshoni serverin dhe provoni përsëri përpara se të prekni shfletuesin. Një bllokim që ju ndjek nëpër tri dalje të të njëjtit ofrues ka të bëjë me diapazonet e ofruesit; një bllokim që zhduket në një server tjetër ka të bëjë me atë adresë të vetme.

Zona kohore, gjuha dhe ora nuk përputhen me adresën

Kodi i faqes mund të lexojë zonën tuaj kohore, preferencat e gjuhës dhe cilësimet e ekranit pa asnjë kërkesë leje. Një shfletues që raporton orën e Evropës Qendrore ndërsa lidhja vjen nga një qendër të dhënash në Singapur është një sinjal më i fortë se adresa vetëm, dhe është pikërisht lloji i mospërputhjes që vlerësimi i mashtrimit është ndërtuar të vërë re.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Ato tre rreshta në konsolën e zhvilluesit ju thonë çfarë jep shfletuesi juaj vullnetarisht. Një klient VPN mund të ndryshojë rrugën tuaj dhe asgjë tjetër, kështu që profili që mbani mbetet vendas ndërsa dalja juaj nuk është. Këtu rëndësi ka konsistenca: një laptop i vendosur në të njëjtin rajon si dalja duket i zakonshëm, dhe një që kundërshton vetveten nuk duket.

Kjo është arsyeja pse dështimi është i herëpashershëm. Shumë faqe nuk i intereson, disa e vlerësojnë, dhe një faqe anëtarësie vendos se ju jeni mashtrues. Klienti funksionon saktë në të tre rastet, dhe për këtë arsye përgjigjja e zakonshme e mbështetjes, «duhet të jetë shfletuesi juaj», është njëkohësisht e bezdisshme dhe pjesërisht e vërtetë.

Çfarë di vërtet kodi i faqes për makinën tuaj

JavaScript nuk ka asnjë API që numëron ndërfaqet e rrjetit. Një faqe nuk mund të pyesë se çfarë adresash ka laptopi juaj, kështu që pohim i vjetër se një skript lexon adresën tuaj LAN është kryesisht një kujtim nga epoka e shtojcave, kur kontrollet ActiveX, applet-et Java dhe kodi tjetër vendas mund ta bënin pikërisht atë.

WebRTC është përjashtimi i sinqertë nga «asnjë rrjedhje adresash lokale». Mbledhja e kandidatëve të tij dikur u ekspozonte adresa lokale çdo faqeje që kërkonte, dhe rregullimi ishte zëvendësimi i kandidatëve të hostit me emra mDNS të rastësishëm. Ai parazgjedhje vlen në shfletuesit aktualë, por është vendim i shfletuesit dhe jo garanci e protokollit, kështu që një ndërtim i vjetëruar ose një konfigurim i shtrënguar që riaktivizon kandidatët lokalë mund të rrjedhë ende. Përditësimi i shfletuesit ju ndihmon këtu më shumë se çdo shtesë.

Ofruesi juaj sheh emrat, jo përmbajtjen

HTTPS mbron përmbajtjen e një faqe nga fundi në fund, dhe operatori i tunelit që i përcjell ato bajt nuk mund t'i lexojë. Operatori ende mund të shohë se në cilën adresë keni kontaktuar, dhe në shumicën e vendosjeve edhe emrin e serverit në shtrëngimin e duarve, sepse emri duhet të jetë i lexueshëm që lidhja të drejtohet te faqja e duhur. Encrypted Client Hello ekziston pikërisht për të fshehur atë fushë, dhe ndihmon vetëm kur klienti dhe faqja e mbështesin të dy.

Zgjidhja e emrave është gjysma tjetër. Nëse ofruesi juaj siguron edhe resolver-in, ai sheh çdo emër që kërkoni përpara se të ekzistojë ndonjë lidhje. Nëse pajisja juaj përdor një resolver publik përmes HTTPS, ofruesi sheh një lidhje me atë resolver dhe asgjë tjetër, ndërsa vetë resolver-i sheh listën.

Një kërkesë HTTP e paenkriptuar është e lexueshme për operatorin për të njëjtën arsye për të cilën është e lexueshme për rrjetin e hotelit: asgjë brenda saj nuk është e enkriptuar. Një tunel nuk ka pretenduar kurrë të kundërtën, dhe nuk e rregullon zgjedhjen e aplikacionit.

Ndani «kjo është VPN» nga «ky jam unë»

Zbulimi është i lirë, probabilistik dhe shpesh i gabuar. Adresat e daljes të përbashkëta shënohen sepse dikush tjetër i ka abuzuar, diapazonet korporative klasifikohen si hostim, dhe operatorët celularë prodhojnë rezultate gjeografike që i befasojnë të gjithë. Identifikimi është problem tjetër: kërkon një lidhje të vazhdueshme si një llogari në të cilën jeni identifikuar, një cookie, një detaj pagese ose dy vëzhgues që krahasojnë shënimet.

Vendosni kundër cilit prej tyre po luftoni vërtet. Nëse qëllimi është të lexoni një faqe, HTTPS e bën tashmë atë punë dhe tuneli ndryshon pak. Nëse qëllimi është të parandaloni faqen të dijë se në cilin qytet jeni, dalja dhe resolver-i janë ajo që ka rëndësi. Nëse qëllimi është të thyeni lidhjen me identitetin tuaj real, llogaria është pika e dobët, dhe ndryshimi i serverëve nuk bën asgjë për hyrjen që sapo përdorët.

Një dalje e re nuk ju shkëput nga asgjë dhe nuk mund të fshijë atë që një faqe ka ruajtur tashmë për llogarinë që përdorët. Prandaj sekuenca praktike është pa shkëlqim: zgjidhni një dalje rrjeti i së cilës duket i zakonshëm, mbani profilin e shfletuesit në përputhje me të, përditësoni shfletuesin që veçoritë e prirura ndaj rrjedhjeve të përdorin parazgjedhjet e tyre moderne, dhe pranoni se një numër i vogël faqesh do të vazhdojnë të hamendësojnë gabimisht për ju.