Ändrar ett VPN webbläsarens fingeravtryck? Vad du bör testa först

Du byter VPN till ett annat land, laddar om butiken, och den hälsar dig fortfarande vid namn med samma varukorg. Det är ögonblicket då ordet fingeravtryck brukar komma in i samtalet, ofta följt av en testsajt som påstår att din webbläsare är en på miljonen. Ta problemet i rätt ordning i stället: för vanliga sidförfrågningar ändrar tunneln exakt ett fält, webbläsaren fortsätter rapportera dussintals, och testet mäter något smalare än det låter. Fem steg skiljer dessa tre saker.

Steg 1: uteslut de tråkiga skälen till att du kändes igen

Börja utloggad. Öppna ett privat fönster, besök samma sida och se om den fortfarande beter sig som om den känner dig. Kakor, lokal lagring och en aktiv session förklarar de flesta rapporterna om «den såg mig genom VPN:et», och ingen av dem är fingeravtryck.

Om sidan fortfarande känner igen något i ett privat fönster, titta på det synliga tillstånd du tog med dig: samma konto i en annan flik, ett sparat formulärfält, en lösenordshanterare som fyller i din adress, eller en webbplats du auktoriserade med en token i URL:en. Var och en är en lagrad referens, och rensning av profilen tar bort den.

Först när en ren profil utan session fortfarande ger ett igenkännande som korrelerar med tidigare besök är det värt att tala om ett fingeravtryck. Det är ett mycket smalare påstående än «VPN:et fungerar inte», och det är det du faktiskt kan testa.

Steg 2: byt utgång och lista vad som inte ändrades

Sätt upp tunneln och kontrollera sedan det enda värde tunneln ska flytta: adressen en server ser. Vilken sida som helst för adressuppslag visar den, eller läs den från en slutpunkt du kontrollerar med curl -s https://your-endpoint.example/ip. All eko-tjänst du använder ser förfrågan, så en slutpunkt du äger håller det utanför någon annans logg. Bekräfta att den ändrades. Nu den intressanta delen — lista vad webbläsaren fortfarande rapporterar om sig själv, för nästan inget av det färdas i pakethuvudet.

Raden med tidszonen är den det är värt att stanna vid. Den läses från operativsystemet, så en tunnel som flyttar din trafik till en annan kontinent medan klockan fortfarande säger din hemstad ger en diskrepans som i sig är en särskiljande observation. Samma sak gäller en språklista i ett land och en utgång i ett annat: inte bevis för något, bara en kombination som sticker ut. WebRTC är undantaget i tabellen: en sida som öppnar en medie- eller datakanal kan samla kandidatadresser, och med tunneln uppe kan en kandidat bära utgångsadressen eller, utan läckageskydd, fortfarande erbjuda din lokala.

Steg 3: läs ett fingeravtryckstest efter vad det rapporterar

EFF:s Cover Your Tracks är det vanliga första stoppet. Det visar egenskaper som din webbläsare exponerar för den sidan och ger ett utlåtande om hur många webbläsare i dess urval som delar dem. Läs det finstilta: urvalet är de personer som gjorde testet, signalerna är de som den sidan valde att samla in, och utlåtandet är en uppskattning av entropibitar, inte en folkräkning.

Så «din webbläsare är unik» betyder unik inom den datamängden, i dag, med den uppsättningen prober. Det betyder inte att en webbplats kan härleda ditt namn, och det är inte en permanent egenskap — en webbläsaruppdatering kan flytta värdet utan att du rör något.

Använd testet som mätinstrument, inte som en poäng att optimera. Anteckna de rapporterade värdena, ändra en sak och jämför samma fält. Om inget ändrades i webbläsaren och avläsningarna ändå flyttade sig var ändringen brus i urvalet, inte i dig.

Steg 4: ändra de egenskaper som faktiskt är dina

Nu kan du agera på specifika rader. Språklistan, tidszonen och de regionala formaten är inställningar, och att anpassa dem till platsen du påstår att du är på är konsekvent beteende, inte ett trick. En separat webbläsarprofil per kontext håller webbplatsdata och inloggningar åtskilda, vilket hanterar igenkännandet från steg 1 mer tillförlitligt än något anti-fingeravtryckstillägg.

Var försiktig med det klassiska rådet att lägga till härdningstillägg. Var och en ändrar din observerbara yta, och en uppsättning ovanliga inställningar kan göra dig mer sällsynt i stället för mer vanlig. Vissa blockerar ett API som sidor kan upptäcka som saknat; andra lämnar en karaktäristisk lappad signatur. Ett tilläggs popularitet är inte bevis för att det minskar identifierbarheten.

Webbläsare som tar detta på allvar gör något strukturellt annorlunda: de standardiserar. Tor Browser strävar efter att varje användare rapporterar samma värden, Firefox levererar ett skyddsläge som rapporterar standardiserade värden från en liten uppsättning i stället för dina riktiga, och Safari begränsar vad webbplatser kan läsa. Det är ett designbeslut som tillämpas konsekvent, och vägledningen i W3C:s vägledning om fingeravtryck förklarar varför standardisering slår slumpmässighet per användare för detta problem.

Steg 5: avgör vilket lager du egentligen behövde

Tre separata saker packas in i «göm mig»: nätverksvägen, webbläsarens observerbara yta och dina konton. Ett VPN hanterar det första. Det rör inte det andra, och det kan inte hjälpa till med det tredje — inloggning är den mest direkta identifieraren som finns, och den överlever varje utgångsändring.

Om ditt mål är att en webbplats inte ska kunna se att två besök hänger samman behöver du också webbläsarlagret: en ren profil per kontext, konsekventa inställningar och ingen delad inloggning. Om ditt mål är att webbplatsen inte alls ska kunna se vem du är, är det en hotmodell där Tor Browser, som kombinerar routning med standardisering på webbläsarnivå, är det konsekventa valet i stället för en vanlig webbläsare bakom en tunnel.

Om ditt mål bara är att webbplatsen ser en annan stad och att din leverantör inte ser något, räcker tunneln ensam faktiskt, och resultatet av fingeravtryckstestet är irrelevant för det målet. Det mesta av besvikelsen här kommer av att köpa ett lager och förvänta sig tre.

En ordning som håller stegen ärliga:

• Reproducera igenkännandet med en ren profil och utan inloggning innan du skyller på tunneln.
• Bekräfta att utgångsadressen ändrades och notera sedan vilka webbläsarvärden som inte gjorde det.
• Jämför samma testfält före och efter en enda ändring, inte toppresultatet.
• Rätta tidszon och språk så att de stämmer med din historia innan du lägger till något tillägg.
• Välj det lager som passar målet: nätverk, webbläsaryta eller konton.