VPN เปลี่ยนลายนิ้วมือของเบราว์เซอร์คุณหรือไม่? ควรทดสอบอะไรก่อน
VPN สลับที่อยู่ขาออกของคุณ และสำหรับคำขอหน้าเว็บทั่วไปแทบไม่มีอะไรอื่น ไล่ดูห้าขั้นตอนแล้วดูว่าค่าใดของเบราว์เซอร์เปลี่ยนจริง
คุณสลับ VPN ไปยังอีกประเทศ โหลดร้านค้าใหม่ แล้วมันยังทักทายคุณด้วยชื่อพร้อมตะกร้าเดิม นั่นคือช่วงเวลาที่คำว่า ลายนิ้วมือ มักเข้ามาในการสนทนา มักตามด้วยเว็บทดสอบที่อ้างว่าเบราว์เซอร์ของคุณเป็นหนึ่งในล้าน ลองจัดการปัญหาตามลำดับแทน: สำหรับคำขอหน้าเว็บทั่วไป อุโมงค์เปลี่ยนเพียงฟิลด์เดียวเท่านั้น เบราว์เซอร์ยังรายงานหลายสิบรายการ และการทดสอบวัดสิ่งที่แคบกว่าที่ฟังดู ห้าขั้นตอนแยกสามสิ่งนี้ออกจากกัน
ขั้นที่ 1: ตัดเหตุผลน่าเบื่อที่ทำให้คุณถูกจดจำออกไป
เริ่มจากการออกจากระบบ เปิดหน้าต่างส่วนตัว เยี่ยมชมหน้าเดิม แล้วดูว่ามันยังทำตัวราวกับรู้จักคุณหรือไม่ คุกกี้ พื้นที่จัดเก็บในเครื่อง และเซสชันที่ใช้งานอยู่ อธิบายรายงาน «มันเห็นฉันผ่าน VPN» ส่วนใหญ่ และไม่มีสิ่งใดเป็นการทำลายนิ้วมือ
หากหน้าเว็บยังจดจำอะไรบางอย่างได้ในหน้าต่างส่วนตัว ให้ดูสถานะที่มองเห็นได้ซึ่งคุณพกมา: บัญชีเดียวกันในแท็บอื่น รายการฟอร์มที่บันทึกไว้ ตัวจัดการรหัสผ่านที่กรอกที่อยู่ของคุณ หรือเว็บไซต์ที่คุณอนุญาตด้วยโทเคนใน URL แต่ละอย่างคือการอ้างอิงที่จัดเก็บไว้ และการล้างโปรไฟล์จะลบมันออก
เฉพาะเมื่อโปรไฟล์สะอาดที่ไม่มีเซสชันยังสร้างการจดจำที่สัมพันธ์กับการเข้าชมก่อนหน้า จึงคุ้มค่าที่จะพูดถึงลายนิ้วมือ นั่นเป็นข้อกล่าวอ้างที่แคบกว่ามากเมื่อเทียบกับ «VPN ใช้ไม่ได้» และเป็นสิ่งที่คุณทดสอบได้จริง
ขั้นที่ 2: เปลี่ยนขาออกและระบุสิ่งที่ไม่ได้เปลี่ยน
ยกอุโมงค์ขึ้น แล้วตรวจค่าที่อุโมงค์ควรเปลี่ยนเพียงค่าเดียว: ที่อยู่ที่เซิร์ฟเวอร์มองเห็น หน้าเว็บค้นหาที่อยู่ใดก็แสดงค่านี้ หรืออ่านจากปลายทางที่คุณควบคุมด้วย curl -s https://your-endpoint.example/ip บริการสะท้อนใดที่คุณใช้จะเห็นคำขอ ดังนั้นปลายทางที่เป็นของคุณเองจึงเก็บมันไว้นอกบันทึกของคนอื่น ยืนยันว่ามันเปลี่ยนแล้ว ตอนนี้ส่วนที่น่าสนใจ — ระบุว่าเบราว์เซอร์ยังรายงานอะไรเกี่ยวกับตัวเอง เพราะแทบไม่มีสิ่งใดในนั้นเดินทางในส่วนหัวของแพ็กเก็ต
| What a page can read | Changed by the VPN? | Where it comes from |
|---|---|---|
| Public source address | Yes | The tunnel's exit |
| WebRTC candidate addresses | Sometimes | Browser network stack and leak protection |
| User agent string | No | Browser build and platform |
| Language preference list | No | Browser and OS settings |
| Timezone offset | No | The operating system clock |
| Screen size, colour depth, pixel ratio | No | Display and window state |
| Installed fonts, canvas and WebGL output | No | Rendering stack and GPU |
| Accept-Language, client hints | No | Browser configuration |
แถวเขตเวลาคือแถวที่ควรหยุดดู ค่านี้อ่านจากระบบปฏิบัติการ ดังนั้นอุโมงค์ที่ย้ายการรับส่งข้อมูลของคุณไปยังอีกทวีปในขณะที่นาฬิกายังบอกเมืองบ้านเกิดของคุณจึงสร้างความไม่สอดคล้องซึ่งเป็นข้อสังเกตที่แยกแยะได้ในตัวเอง เช่นเดียวกันกับรายการภาษาในประเทศหนึ่งและขาออกอีกประเทศหนึ่ง ไม่ใช่หลักฐานของสิ่งใด เป็นเพียงการผสมผสานที่โดดเด่น WebRTC เป็นข้อยกเว้นในตาราง หน้าที่เปิดช่องทางสื่อหรือข้อมูลสามารถรวบรวมที่อยู่ผู้สมัครได้ และเมื่ออุโมงค์ทำงาน ผู้สมัครอาจพาที่อยู่ขาออกหรือหากไม่มีการป้องกันการรั่วไหลก็ยังเสนอที่อยู่ในเครื่องของคุณ
ขั้นที่ 3: อ่านการทดสอบลายนิ้วมือตามสิ่งที่มันรายงาน
Cover Your Tracks ของ EFF เป็นจุดแวะแรกตามปกติ มันแสดงลักษณะที่เบราว์เซอร์ของคุณเปิดเผยต่อหน้านั้น และให้คำตัดสินว่ามีเบราว์เซอร์กี่ตัวในตัวอย่างที่ใช้ร่วมกัน อ่านตัวอักษรเล็ก ๆ: ตัวอย่างคือผู้ที่ทำการทดสอบ สัญญาณคือสิ่งที่หน้านั้นเลือกเก็บ และคำตัดสินคือการประมาณบิตของเอนโทรปี ไม่ใช่การสำมะโน
ดังนั้น «เบราว์เซอร์ของคุณไม่ซ้ำใคร» หมายถึงไม่ซ้ำในชุดข้อมูลนั้น วันนี้ ด้วยชุดการตรวจวัดนั้น ไม่ได้หมายความว่าเว็บไซต์สามารถอนุมานชื่อของคุณได้ และไม่ใช่คุณสมบัติถาวร — การอัปเดตเบราว์เซอร์สามารถเลื่อนค่าได้โดยที่คุณไม่ได้แตะอะไร
ใช้การทดสอบเป็นเครื่องมือวัด ไม่ใช่คะแนนที่ต้องปรับให้เหมาะสม บันทึกค่าที่รายงาน เปลี่ยนสิ่งหนึ่ง แล้วเปรียบเทียบฟิลด์เดียวกัน หากไม่มีอะไรเปลี่ยนในเบราว์เซอร์แต่ค่าที่อ่านได้ยังขยับ แสดงว่าการเปลี่ยนแปลงนั้นเป็นเสียงรบกวนในตัวอย่าง ไม่ใช่ในตัวคุณ
ขั้นที่ 4: เปลี่ยนลักษณะที่เป็นของคุณจริง ๆ
ตอนนี้คุณลงมือกับแถวที่เฉพาะเจาะจงได้ รายการภาษา เขตเวลา และรูปแบบภูมิภาคเป็นการตั้งค่า และการจัดให้ตรงกับสถานที่ที่คุณอ้างว่าอยู่นั้นเป็นพฤติกรรมที่สอดคล้อง ไม่ใช่กลอุบาย โปรไฟล์เบราว์เซอร์แยกตามบริบทเก็บข้อมูลเว็บไซต์และการเข้าสู่ระบบแยกจากกัน ซึ่งจัดการการจดจำจากขั้นที่ 1 ได้น่าเชื่อถือกว่าส่วนขยายต่อต้านลายนิ้วมือใด ๆ
ระวังคำแนะนำแบบคลาสสิกเรื่องการเพิ่มส่วนขยายเสริมความแข็งแกร่ง แต่ละตัวเปลี่ยนพื้นผิวที่สังเกตได้ของคุณ และชุดการตั้งค่าที่ผิดปกติอาจทำให้คุณหายากขึ้นแทนที่จะธรรมดาขึ้น บางตัวบล็อก API ที่หน้าเว็บตรวจจับได้ว่าขาดหาย ตัวอื่นทิ้งลายเซ็นที่ถูกแพตช์อย่างชัดเจน ความนิยมของส่วนขยายไม่ใช่หลักฐานว่ามันลดความสามารถในการระบุตัวตน
เบราว์เซอร์ที่จริงจังกับเรื่องนี้ทำสิ่งที่ต่างออกไปเชิงโครงสร้าง: พวกมันทำให้เป็นมาตรฐาน Tor Browser มุ่งให้ผู้ใช้ทุกคนรายงานค่าเดียวกัน Firefox มาพร้อมโหมดป้องกันที่รายงานค่ามาตรฐานจากชุดเล็กแทนค่าจริงของคุณ และ Safari จำกัดสิ่งที่เว็บไซต์อ่านได้ นั่นคือการตัดสินใจออกแบบที่ใช้อย่างสม่ำเสมอ และ แนวทางลายนิ้วมือของ W3C อธิบายว่าทำไมการทำให้เป็นมาตรฐานจึงเหนือกว่าการสุ่มต่อผู้ใช้สำหรับปัญหานี้
ขั้นที่ 5: ตัดสินใจว่าคุณต้องการชั้นใดจริง ๆ
สามสิ่งที่แยกจากกันถูกรวมไว้ใน «ซ่อนฉัน»: เส้นทางเครือข่าย พื้นผิวที่สังเกตได้ของเบราว์เซอร์ และบัญชีของคุณ VPN จัดการสิ่งแรก ไม่แตะสิ่งที่สอง และช่วยเรื่องที่สามไม่ได้ — การเข้าสู่ระบบเป็นตัวระบุที่ตรงที่สุดที่มีอยู่ และมันอยู่รอดทุกการเปลี่ยนขาออก
หากเป้าหมายของคุณคือให้เว็บไซต์บอกไม่ได้ว่าการเข้าชมสองครั้งเกี่ยวข้องกัน คุณต้องมีชั้นเบราว์เซอร์ด้วย: โปรไฟล์สะอาดต่อบริบท การตั้งค่าที่สอดคล้อง และไม่มีการเข้าสู่ระบบร่วมกัน หากเป้าหมายของคุณคือให้เว็บไซต์บอกไม่ได้เลยว่าคุณเป็นใคร นั่นคือรูปแบบภัยคุกคามที่ Tor Browser ซึ่งรวมการกำหนดเส้นทางเข้ากับการทำให้เป็นมาตรฐานระดับเบราว์เซอร์ เป็นทางเลือกที่สอดคล้อง แทนที่จะเป็นเบราว์เซอร์ธรรมดาหลังอุโมงค์
หากเป้าหมายของคุณเพียงเพื่อให้เว็บไซต์เห็นอีกเมืองและผู้ให้บริการอินเทอร์เน็ตของคุณไม่เห็นอะไร อุโมงค์อย่างเดียวก็เพียงพอจริง และผลการทดสอบลายนิ้วมือไม่เกี่ยวข้องกับเป้าหมายนั้น ความผิดหวังส่วนใหญ่ที่นี่มาจากการซื้อชั้นเดียวแต่คาดหวังสามชั้น
ลำดับที่ทำให้ขั้นตอนซื่อสัตย์:
- สร้างการจดจำซ้ำด้วยโปรไฟล์สะอาดและไม่มีการเข้าสู่ระบบก่อนโทษอุโมงค์
- ยืนยันว่าที่อยู่ขาออกเปลี่ยนแล้ว จากนั้นบันทึกว่าค่าใดของเบราว์เซอร์ไม่เปลี่ยน
- เปรียบเทียบฟิลด์ทดสอบเดียวกันก่อนและหลังการเปลี่ยนแปลงครั้งเดียว ไม่ใช่คะแนนพาดหัว
- แก้ไขเขตเวลาและภาษาให้ตรงกับเรื่องราวของคุณก่อนเพิ่มส่วนขยายใด ๆ
- เลือกชั้นที่ตรงกับเป้าหมาย: เครือข่าย พื้นผิวเบราว์เซอร์ หรือบัญชี