Stoppar en VPN webbplatsers spårning? Vad som fortfarande fungerar

En VPN ändrar adressen som din trafik kommer från. Den ändrar inte kakan som webbläsaren skickar, kontot du är inloggad på eller identifieraren som är inbäddad i länken du klickade på. Därför kan en webbplats tilltala dig vid namn medan din utbytesadress ligger i ett annat land. Kontrollerna nedan skiljer nätverksidentitet från allt annat, i den ordning som hittar den verkliga orsaken snabbast.

Vad tunneln ändrar och vad den inte ändrar

Tunneln ersätter din källadress vid utgången och krypterar det som det lokala nätverket kan se av din trafik. Båda är användbara och båda är snäva. Allt ovanför IP-lagret, det vill säga HTTP-förfrågan som webbläsaren faktiskt bygger, når webbplatsen oförändrad.

Det omfattar kakor, auktoriseringshuvuden, URL:en och TLS-avtrycket för din klient.

Frågan är alltså inte om VPN:en fungerar. Frågan är vilken identifierare webbplatsen använde, och det kan besvaras genom att testa ett lager i taget.

Steg 1: skilj kontoidentitet från nätverksidentitet

Logga ut överallt, eller använd en webbläsarprofil som aldrig har loggat in, och upprepa besöket genom tunneln. Om webbplatsen inte längre känner igen dig var identifieraren en kaka eller ett konto, och VPN:en var aldrig den relevanta kontrollen. Om den fortfarande känner igen dig, leta efter en annan lagrad identifierare innan du griper efter fingeravtryck. En varukorg, en sparad inställning eller en sessionstoken i lokal lagring förklarar de flesta av dessa fall.

Ett privat fönster isolerar kakburken för det fönstret. Det gör inte en inloggning du utför i det anonym.

Steg 2: leta efter identifierare inne i länken

Länkar i nyhetsbrev bär rutinmässigt en prenumeranttoken, och kampanjlänkar bär parametrar. Öppna en genom vilken utgång du vill och destinationen tar fortfarande emot token, eftersom token är en del av förfrågan och inte av rutten. Fjärrbilder i e-post fungerar på samma sätt, knutna till ett specifikt meddelande.

Ta bort frågesträngen när du kan och stäng av fjärrinnehåll i e-postklienten.

Samma logik gäller information som du själv lämnar. En sparad adress, ett telefonnummer som skrivs in i ett formulär eller en referens till ett supportärende identifierar dig efter varje IP-ändring. Tänk på vem som tar emot uppgifterna, inte bara vilken väg de tog.

Steg 3: läs fingeravtrycksytan ärligt

Fingeravtryck kombinerar observerbara egenskaper hos webbläsaren och enheten: user agent, skärmgeometri, installerade typsnitt, tidszon, canvas-utdata. En vanlig VPN standardiserar inget av det, så radering av en kaka tar inte bort de andra signalerna. Det följer inte heller att varje igenkänning är ett fingeravtryck. Det vanliga fallet är en lagrad identifierare som du har glömt.

Testa med ett fingeravtrycksverktyg och läs resultatet som ett urval, inte som ett certifikat. Dessa verktyg mäter en metod mot en datamängd och kan inte lova att ingen webbplats någonsin kommer att koppla två besök. Behandla poängen som en ledtråd om vilka ytor som ser ovanliga ut i din uppsättning.

Att minska ytan är värt mer än någon enskild inställning: färre tillägg, en aktuell webbläsarversion och profiler som du medvetet håller åtskilda.

Steg 4: verifiera med ett före-och-efter-test

Kör samma kontroll två gånger, en gång utanför tunneln och en gång inuti, och jämför svaren, inte dina förväntningar.

curl -s https://ifconfig.me; echo
curl -s https://ipinfo.io/ip

Utbytesadressen bör ändras, och resolvern som webbplatsen ser bör tillhöra VPN:en när din DNS går genom tunneln. Om adressen ändras och resolvern inte gör det har du en delad DNS-väg som läcker domänförfrågningar, och det är ett konfigurationsfel, inte en spårningsmekanism. Kontrollera WebRTC separat i webbläsaren, eftersom det i vissa konfigurationer kan avslöja adresser, och det enda ärliga svaret är det som ditt eget test returnerar.

Upprepa sedan konto- och länktesterna. En webbplats som känner igen dig efter alla fyra stegen använder något du fortfarande skickar, och nästa steg är att hitta den saken i stället för att byta servrar igen.

Håll de två resultaten sida vid sida. En integritetskontroll utan en baslinje är bara en gissning.