Sluta lita blint på din VPN: 8 sätt den avslöjar allt du gör online

Din VPN kan läcka din verkliga identitet och surfhistorik. Lär dig hur dessa läckor uppstår och hur du skyddar din integritet online.

Din VPN läcker troligtvis information utan att du vet om det. Från domännamnen du besöker till din verkliga identitet, om du använder en VPN för sekretess, vill du läsa detta.

Många människor förlitar sig på VPN:er för sekretess, men de flesta är omedvetna om att de ofta läcker dina DNS-förfrågningar och inte skyddar dig från identifiering. Din webbläsare är utanför din VPN:s kontroll och har ett unikt fingeravtryck. När det korsrefereras med dina inloggningssessioner profilerar spårare din verkliga identitet på nätet. För att inte nämna att ett litet JavaScript-avsnitt på vilken webbplats som helst kan avslöja din verkliga IP-adress. Jag kommer att förklara hur och vad du kan göra åt det.

DNS-läckor

DNS-trafik som inte går genom VPN-tunneln

Domännamnssystemet (DNS) är vad vi alla förlitar oss på i bakgrunden för att mappa domännamn (t.ex. exempel.com) till IP-adresser. En DNS-läcka inträffar när ditt system gör DNS-förfrågningar utanför VPN:s krypterade tunnel. Eftersom DNS ofta är okrypterat kan varje nätverksövervakare profilera din trafik.

Ett routningsschema avgör var din dator skickar trafik. VPN-appar ändrar dem efter bästa förmåga för att leda det mesta genom VPN:n. Men de måste tillåta trafik till din router, lokala enheter och VPN-tjänsten själv, vilket ofta är en källa till problem. Ditt operativsystem kan också åsidosätta dessa regler.

Vanliga orsaker till DNS-läckor (men kom ihåg att en bra VPN-app bör åtgärda dessa):

• Router DNS-proxy: Att ställa in din namnserver till din router (även kallad gateway) kan förvirra ditt OS, och det kan routa DNS-trafik utanför tunneln.
• Teredo: (Avaktiverat sedan Windows 10 v1803) Kan skicka IPv6-baserade DNS-förfrågningar genom tredje parts omlopp om din VPN inte stöder IPv6.
• Ingen VPN-levererad DNS-tjänst: vilket får ditt system att använda standarden, som kan vara din gateway.
• DNS-hijacking: Vissa säkerhetsprogram (t.ex. Avast) kapar DNS och dirigerar trafiken till anpassade DNS-tjänster, som kanske inte går genom tunneln.
• Smart Multi-Homed Namnlösning (SMHNR): På Windows skickar detta varje namnlösningsprotokoll (inklusive DNS) till alla konfigurerade resolverare över varje nätverksgränssnitt, vilket inkluderar VPN och fysiska (normala) gränssnitt.

En nätverksgränssnitt är hur din dator ansluter till omvärlden. Ett fysiskt gränssnitt representerar din verkliga anslutning, och ett virtuellt ett representerar VPN:n.

Innan du söker efter lösningar, testa för DNS-läckor. Se till att din DNS-server är något du förväntar dig. Du kan också använda ett avancerat verktyg som Wireshark för att se om trafiken på port 53 går genom VPN-gränssnittet.

Kom ihåg att en bra VPN-app bör åtgärda de flesta av dessa problem.

Lösningarna:

• Avaktivera Teredo: Det behövs inte längre.
• Använd rätt namnserver: Om din VPN-app inte tillhandahåller och konfigurerar en automatiskt, överväg andra alternativ.
• Avaktivera SMHNR: Du behöver det inte.
• Avaktivera DNS-hijacking-funktioner: Utvärdera dina säkerhetsappar och se runt i deras inställningar.
• Använd en dedikerad VPN-gateway: Ett dedikerat, separat system utformat enbart för att leda trafik genom en VPN-tjänst. Det bör använda en extern brandvägg för att begränsa utgående paket enbart till den tjänsten. Jag använder virtuella maskiner på Qubes OS för att uppnå detta, men det är mycket tekniskt.

Jag använder och rekommenderar Proton VPN, som har en bra app.

IPv6-läcka

Om den inte stöds av VPN-tjänsten, kan IPv6-trafik dirigeras någon annanstans

IPv6-läckor liknar DNS-läckor—om din VPN inte hanterar sådana anslutningar, tar ditt operativsystem över och dirigerar din trafik genom det fysiska gränssnittet, vilket avslöjar det.

Det finns några lösningar:

• Prioritera IPv6-stöd: Använd en VPN som uttryckligen stöder IPv6-trafik och testa den.
• Avaktivera IPv6: Avaktivera det helt på ditt system.
• Brandväggs IPv6-trafik.

WebRTC-läckor

Webbplatser kan diskret avslöja din identitet

WebRTC kan avslöja din riktiga IP-adress, även om du är bakom en VPN. Vilken hemsida som helst kan köra en liten JS-snutt för att avslöja dig.

WebRTC är en grupp teknologier som möjliggör peer-to-peer-datatransfer. PeerTube är ett känt exempel.

För att koppla två peers, listar WebRTC varje lokal enhet—fysisk och virtuell—och läser deras IP-adresser direkt från operativsystemet. Det skickar också paket till speciella servrar (STUN servrar) som svarar med den publika IP-adressen de ser. Webbplatsen som värdar skriptet samlar in dessa och kan enkelt identifiera dig.

Lösningarna:

• Inaktivera WebRTC: Du kan göra det i både Firefox och Chrome (via en tillägg).
• Använd en VPN-gateway: Ja, den fångar till och med WebRTC-dumheter.

Anslutningsbortfall

Ditt system kan fortsätta skicka oskyddade paket

Om din VPN-anslutning droppr, kan dina paket som standard gå över den fysiska enheten, vilket avslöjar din trafik.

Lösningarna:

• Dödsbrytare: VPN-appar erbjuder denna funktion för att stoppa all nätverkstrafik om VPN-anslutningen droppr.
• Brandväggsregler: Blockera all trafik på din fysiska enhet som inte är avsedd för din VPN-tjänst eller lokala nätverk.

Webbläsarfingeravtryck

Samma identitet över flera IP-adresser

Ett fingeravtryck är en mätning av din webbläsares attribut, som unikt identifierar dig. Det är matematiskt härlett och mycket effektivt.

De används oftast i spårningsskript från Facebook, Google, osv., och de omfattar hela webben. När du ändrar din IP, vet Google att det är samma person, inte bara när du besöker Google utan också varje webbplats du besöker.

Lösningarna:

• Fingeravtrycksrandomisering: Använd en stark, integritetsfokuserad webbläsare som ändrar ditt fingeravtryck ofta. Brave är den enda som gör detta för tillfället.
• Blockera spårare: Webbläsare som Firefox och Brave har inbyggda spårarblockerare; använd dem.
• Olika webbläsare: Separera dina verkliga inloggningar från din vardagliga användning. Företag som Facebook och Google kopplar det fingeravtrycket till vem du är.

Autentiserade sessioner

Kopplar ditt riktiga namn till ett fingeravtryck

Att logga in på Facebook, TikTok, Google, osv., från flera offentliga IP-adresser kopplar ditt fingeravtryck med din verkliga identitet. Dessa företag spårar dig över nätet, och dina cookies upprätthåller en bestående identitet på dessa domäner. I grund och botten har de ditt fingeravtryck och riktiga namn.

Lösningarna:

• Använd dedikerade VPN-gateways: en för vanlig trafik, en annan för dina verkliga identitetsessioner.
• Använd nätverksnamnrum: På Linux kan användare skapa ett helt separat nätverksstack för att isolera identiteter. Använd olika webbläsare också.
• Använd inkognitoläge: Som en sista utväg, kör sessioner med verklig identitet i ett privat fönster, och innan du ändrar din publika IP-adress, förstöra sessionen genom att stänga den. Om du använder Brave, kommer den också att ändra ditt fingeravtryck.

Av misstag använder klartext

Skickar privat information utan en VPN korrelerar dina identiteter

Att återställa en webbläsarsession med VPN avstängt, även om du är utloggad från konton med verklig identitet, innebär att du signalerar till spårare ditt fingeravtryck och riktiga IP-adress. Spårare kan då korrelera dessa data med de surfvanor de tidigare har samlat in från dig.

Lösningarna:

• Variera verktygsanvändning: Använd olika sökmotorer och LLM:er över riktiga och virtuella anslutningar—det kommer att förhindra misstag.
• Använd en VPN-gateway eller dödsbrytare: Förhindra trafik från att ske om det inte är genom en VPN.
• Var försiktig.

DNS profilering

Vad, när och hur ofta du besöker vissa webbplatser målar en unik bild

Dina dagliga vanor inkluderar de webbplatser du besöker, vid vilken tid och med vilken frekvens. Nätverksoperatörer—som ISP:er—över hela webben kan dra slutsatser om ett unikt beteendemönster och använda det för att profilera och spåra dig över olika offentliga IP-adresser.

Lösningarna:

• Använd VPN-leverantörens DNS-server: Detta är den bästa lösningen, och den döljer helt DNS-förfrågningar, men din VPN-leverantör kan (och vissa gör) profilera dig.
• Använd DNS över HTTPS: Ingen kan läsa dina DNS-förfrågningar förutom du och DNS-tjänsten (med en förutsättning nedan).
• Använd DNSCrypt: Detta är min favorit eftersom det erbjuder anonyma DNS-reläer.

DNS-trafik stannar inte vid DNS-tjänsten. Dessa system gör ytterligare "uppströms" förfrågningar, som är okrypterade och en annan potentiell källa för spårning. DNSCrypt-reläer löser detta problem bäst genom att anonymisera ursprunget (dig).

Det finns så många sätt som ett operativsystem kan förråda din integritet; det enda rimliga försvaret mot läckor är en säkrad VPN-gateway. Jag använder en med en extern brandvägg, som begränsar utgående paket till min VPN-tjänst, vilket säkerställer att endast VPN-trafik lämnar mitt system. Eftersom VPN-gatewayen sitter utanför värden kommer inga problematiska interna faktorer att påverka den. Men det är inte för alla, och att vara försiktig är nästa bästa sak.

Nu när du har läst klart Sluta lita blint på din VPN: 8 sätt den avslöjar allt du gör online, inbjuder vi dig att utforska kategorin Ansökningar ytterligare. Där hittar du fler intressanta artiklar som kommer att utöka dina kunskaper och hålla dig informerad. Sluta inte läsa och upptäcka mer!