VPN tarayıcınızın parmak izini değiştirir mi? Önce neyi test etmeli

VPN'i başka bir ülkeye alıyorsunuz, mağazayı yeniden yüklüyorsunuz ve mağaza sizi hâlâ adınızla, aynı sepetle karşılıyor. Konuşmaya parmak izi kelimesinin girdiği an genellikle budur ve çoğu zaman ardından tarayıcınızın milyonda bir olduğunu iddia eden bir test sitesi gelir. Bunun yerine sorunu sırayla ele alın: sıradan sayfa isteklerinde tünel tam olarak tek bir alanı değiştirir, tarayıcı düzinelerce alanı bildirmeye devam eder ve test kulağa geldiğinden daha dar bir şeyi ölçer. Bu üç şeyi beş adım ayırır.

Adım 1: tanınmanızın sıkıcı nedenlerini dışlayın

Oturum kapatmış olarak başlayın. Özel bir pencere açın, aynı sayfayı ziyaret edin ve hâlâ sizi tanıyormuş gibi davranıp davranmadığına bakın. Çerezler, yerel depolama ve etkin bir oturum «beni VPN üzerinden gördü» bildirimlerinin çoğunu açıklar ve hiçbiri parmak izi değildir.

Sayfa özel pencerede hâlâ bir şeyi tanıyorsa, yanınızda getirdiğiniz görünür duruma bakın: başka bir sekmedeki aynı hesap, kaydedilmiş bir form girişi, adresinizi dolduran bir parola yöneticisi veya URL'deki bir belirteçle yetkilendirdiğiniz bir site. Her biri kaydedilmiş bir referanstır ve profili temizlemek onu kaldırır.

Ancak oturumsuz temiz bir profil hâlâ önceki ziyaretlerle ilişkili tanıma üretiyorsa parmak izinden söz etmeye değer. Bu, «VPN çalışmıyor» demekten çok daha dar bir iddiadır ve gerçekten test edebileceğiniz de budur.

Adım 2: çıkışı değiştirin ve nelerin değişmediğini listeleyin

Tüneli kaldırın, sonra tünelin değiştirmesi gereken tek değeri kontrol edin: bir sunucunun gördüğü adres. Herhangi bir adres sorgu sayfası bunu gösterir ya da kontrol ettiğiniz bir uç noktadan şununla okuyun: curl -s https://your-endpoint.example/ip. Kullandığınız her yankı hizmeti isteği görür, bu yüzden size ait bir uç nokta bunu başkasının günlüğünün dışında tutar. Değiştiğini doğrulayın. Şimdi ilginç kısım — tarayıcının kendisi hakkında hâlâ neleri bildirdiğini listeleyin, çünkü bunların neredeyse hiçbiri paket başlığında seyahat etmez.

Saat dilimi satırı, üzerinde durmaya değer satırdır. İşletim sisteminden okunur, bu yüzden trafiğinizi başka bir kıtaya taşıyan bir tünel, saat hâlâ memleketinizi söylerken kendisi de ayırt edici bir gözlem olan bir uyumsuzluk üretir. Aynısı bir ülkedeki dil listesi ve başka bir ülkedeki çıkış için de geçerlidir: hiçbir şeyin kanıtı değil, yalnızca öne çıkan bir birleşim. WebRTC tablodaki istisnadır: medya veya veri kanalı açan bir sayfa aday adresleri toplayabilir ve tünel açıkken bir aday çıkış adresini taşıyabilir ya da sızıntı koruması olmadan hâlâ yerel adresinizi sunabilir.

Adım 3: bir parmak izi testini bildirdiği şeye göre okuyun

EFF'in Cover Your Tracks aracı olağan ilk duraktır. Tarayıcınızın o sayfaya açtığı özellikleri gösterir ve örneklemindeki kaç tarayıcının bunları paylaştığına dair bir hüküm verir. Küçük yazıyı okuyun: örneklem testi yapan insanlardır, sinyaller o sayfanın toplamayı seçtiği olanlardır ve hüküm entropi bitlerinin bir tahminidir, nüfus sayımı değil.

Yani «tarayıcınız benzersiz» demek, o veri kümesi içinde, bugün, o sonda kümesiyle benzersiz demektir. Bir sitenin adınızı çıkarabileceği anlamına gelmez ve kalıcı bir özellik değildir — bir tarayıcı güncellemesi siz hiçbir şeye dokunmadan değeri kaydırabilir.

Testi bir ölçüm aracı olarak kullanın, optimize edilecek bir puan olarak değil. Bildirilen değerleri kaydedin, bir şeyi değiştirin ve aynı alanları karşılaştırın. Tarayıcıda hiçbir şey değişmediyse ve okumalar yine de kaydıysa, değişiklik sizde değil örneklemdeki gürültüydü.

Adım 4: gerçekten size ait olan özellikleri değiştirin

Artık belirli satırlarda işlem yapabilirsiniz. Dil listesi, saat dilimi ve bölgesel biçimler ayarlardır ve bunları bulunduğunuzu söylediğiniz yere uydurmak bir hile değil, tutarlı davranıştır. Her bağlam için ayrı bir tarayıcı profili site verilerini ve oturum açmaları ayrı tutar; bu da 1. adımdaki tanımayı herhangi bir parmak izi karşıtı uzantıdan daha güvenilir biçimde ele alır.

Sertleştirme uzantıları eklemeye dair klasik tavsiyeye dikkat edin. Her biri gözlemlenebilir yüzeyinizi değiştirir ve sıra dışı ayarlar kümesi sizi daha olağan değil daha nadir yapabilir. Bazıları sayfaların eksik olarak algılayabileceği bir API'yi engeller; diğerleri ayırt edici bir yamalı imza bırakır. Bir uzantının popülerliği, onun tanımlanabilirliği azalttığının kanıtı değildir.

Bunu ciddiye alan tarayıcılar yapısal olarak farklı bir şey yapar: standartlaştırırlar. Tor Browser her kullanıcının aynı değerleri bildirmesini hedefler, Firefox gerçek değerleriniz yerine küçük bir kümeden standartlaştırılmış değerler bildiren bir koruma modu sunar ve Safari sitelerin neleri okuyabileceğini sınırlar. Bu, tutarlı biçimde uygulanan bir tasarım kararıdır ve W3C'nin parmak izi rehberi bu sorunda standartlaştırmanın kullanıcı başına rastgeleleştirmeyi neden yendiğini açıklar.

Adım 5: gerçekte hangi katmana ihtiyacınız olduğuna karar verin

Üç ayrı şey «beni sakla» içinde paketlenir: ağ yolu, tarayıcının gözlemlenebilir yüzeyi ve hesaplarınız. Bir VPN ilkini ele alır. İkincisine dokunmaz ve üçüncüsünde yardımcı olamaz — oturum açmak var olan en doğrudan tanımlayıcıdır ve her çıkış değişikliğinden sağ çıkar.

Amacınız bir sitenin iki ziyaretin ilişkili olduğunu söyleyememesi ise tarayıcı katmanına da ihtiyacınız var: her bağlam için temiz bir profil, tutarlı ayarlar ve paylaşılan oturum açma olmadan. Amacınız sitenin kim olduğunuzu hiç söyleyememesi ise bu, Tor Browser'ın yönlendirmeyi tarayıcı düzeyinde standartlaştırmayla birleştirdiği ve tutarlı seçim olduğu bir tehdit modelidir; tünelin arkasındaki sıradan bir tarayıcı değil.

Amacınız yalnızca sitenin başka bir şehir görmesi ve sağlayıcınızın hiçbir şey görmemesi ise tek başına tünel gerçekten yeterlidir ve parmak izi testinin sonucu bu amaç için önemsizdir. Buradaki hayal kırıklığının çoğu bir katman satın alıp üç katman beklemekten gelir.

Adımları dürüst tutan bir sıra:

• Tüneli suçlamadan önce temiz bir profille ve oturum açmadan tanımayı yeniden üretin.
• Çıkış adresinin değiştiğini doğrulayın, ardından hangi tarayıcı değerlerinin değişmediğini not edin.
• Başlık puanını değil, aynı test alanlarını tek bir değişiklikten önce ve sonra karşılaştırın.
• Herhangi bir uzantı eklemeden önce saat dilimini ve dili hikâyenize uyacak şekilde düzeltin.
• Amaca uyan katmanı seçin: ağ, tarayıcı yüzeyi veya hesaplar.