Döljer en VPN webbläsarens fingeravtryck? Tor Browser säger nej

En VPN flyttar din anslutning till en annan utgångsadress och stannar där. Tor Browser ändrar hur webbläsaren presenterar sig, eftersom adressen bara är en av de signaler som en webbplats kan jämföra. Att byta det ena mot det andra är som att byta kappa och förvänta sig att ingen märker din längd. De två lagren svarar på olika frågor, och en jämförelse är bara meningsfull om du håller dem åtskilda.

Webbplatsen samlar in mer än en adress

Webbläsarens API:er och renderingsbeteende avslöjar kombinationer av egenskaper: hur text ritas, vilka teckensnitt som finns, vad fönstret rapporterar om sig självt, hur mediefunktioner beter sig. Var för sig är dessa värden inget märkvärdigt. Tillsammans snävar de in en besökare till en liten grupp, och den gruppen räcker ofta för att följa någon mellan sessioner helt utan någon kaka.

Inget av detta ändras när paketet tar en annan väg. En VPN kan ändra den källadress som en webbplats loggar, medan varje sådan webbläsaregenskap förblir exakt som den var. Adressen och fingeravtrycket samlas in av olika delar av sidan.

Ett inloggat konto eller en befintlig identifierare behöver inte ens fingeravtrycket. Om du loggar in vet webbplatsen redan vem du är, och därför bör en IP-ändring aldrig behandlas som en automatisk återställning av sessionen. Samma sak gäller en beständig kaka, en sparad enhetstoken eller en URL som bär en identifierare. Alla tre överlever en ny adress helt utan någon form av fingeravtryck.

Vad Tor Browser standardiserar

Tor Browser är byggd kring att minska hur mycket en besökare skiljer sig från en annan. Den begränsar teckensnitt och plugins, visar en standardiserad fönstergeometri, isolerar aktivitet mellan webbplatser och håller sin egen konfiguration nära en känd baslinje. Målet är inte att vara osynlig, utan att undvika att vara den enda i urvalet med en ovanlig kombination.

Det är därför installation av extra tillägg arbetar emot den. Varje tillägg kan införa en märkbar skillnad eller en oväntad nätverksbegäran, och en webbläsare som anpassats för integritet blir ofta mer karakteristisk än standarden. Tor-projektets vägledning om fingeravtryck beskriver de avsedda skydden och var de är begränsade.

Det är också därför det inte är samma sak att peka en vanlig webbläsare mot en Tor-proxy. Routingen kan omdirigeras; webbläsarens egen presentation kan inte göras enhetlig med en proxyinställning. Håll den stödda webbläsaren intakt och uppdaterad.

Vad en VPN faktiskt ändrar

En VPN ändrar vägen och källadressen för den trafik du skickar genom den. Det är verkligen användbart när ett program eller ett nätverk kräver en viss utgångspunkt, när en leverantör blockerar ett intervall eller när du vill att ditt lokala nätverk ska se mindre av dina destinationer.

Det den inte gör är att normalisera webbläsarfunktioner eller isolera en webbplats från en annan inom samma webbläsarprofil. Det är ett verktyg på nätverkslagret, och att behandla det som ett integritetslager för webbläsaren blandar ihop de två. En VPN plus Tor Browser behåller båda ansvarsuppsättningarna, och ingen av lagrens framgång bevisar något om det andra.

Om du kör Tor Browser genom en VPN, räkna med att tunneln bär Tor-trafiken och att webbläsaren hanterar sin egen presentation. En fungerande tunnel är inte bevis på att fingeravtrycksskydden är effektiva, lika lite som ett bra webbläsartest säger något om vad som händer när tunneln faller.

Testa lagren var för sig

En kontroll per lager, i den här ordningen:

$ curl -s https://check.torproject.org/api/ip
{"IsTor":true,"IP":"185.220.101.4"}

Det svaret beskriver utgångsvägen, inte webbläsaren. Kör det utanför Tor Browser och du lär dig om nätverket; kör samma begäran inne i Tor Browser och du lär dig om den webbläsaren använder Tor-nätverket. Inget av resultaten berättar hur ovanlig webbläsaren ser ut.

För webbläsarlagret kan du jämföra en nyinstallerad Tor Browser med en som samlat tillägg och ändrade inställningar. Skillnaderna du införde är poängen: standarden siktar mot en gemensam baslinje, och varje anpassning flyttar dig bort från den. Testa dem på samma webbplats, i samma sessionstyp, utan att logga in.

Håll slutsatserna åtskilda. En VPN svarar på ”vilken adress kom den här anslutningen från”, och Tor Browser svarar på ”hur mycket sticker den här webbläsaren ut”. Att blanda de två ger självsäkra integritetsråd som inte skyddar någon av dem.