VPN लीक और भेस जाँच
लीक वह कोई भी रीडिंग है जो आपके बारे में VPN द्वारा बनाई गई सुरंग से बच निकलती है: कोई मान जो अपने पुराने रास्ते से यात्रा करता रहता है, या जिसे कोई वेब पेज सुरंग को पूरी तरह दरकिनार करके आपके ब्राउज़र से सीधे माँग सकता है। भेस जाँच इसका साथी परीक्षण है: कोई साइट हर वह रीडिंग लेती है जो वह इकट्ठा कर सकती है — पता, घड़ी, भाषा, हार्डवेयर, रिज़ॉल्वर — और उन्हें एक-दूसरे से तुलना करती है, रहस्यों की नहीं, विरोधाभासों की तलाश में। भेस शायद ही कभी इसलिए विफल होता है क्योंकि एक मान ग़लत दिखता है। यह इसलिए विफल होता है क्योंकि दो मान, जिन्हें सहमत होना चाहिए, सहमत नहीं होते। दोनों हिस्सों को स्वयं ब्राउज़र फ़िंगरप्रिंट परीक्षण में चलाएँ, और किसी एक सेटिंग को बदलने से पहले कोई पेज जो रीडिंग ले सकता है उसकी पूरी सूची के लिए वेबसाइटें आपके बारे में क्या जानती हैं पढ़ें।
VPN ठीक एक चीज़ बदलता है
VPN एक यांत्रिक काम करता है, और वह उसे अच्छी तरह करता है: यह आपके ट्रैफ़िक को एक एग्ज़िट सर्वर तक की एन्क्रिप्टेड सुरंग में लपेटता है, और जिन साइटों पर आप जाते हैं वे आपकी जगह उस सर्वर को देखती हैं। आपका सार्वजनिक IP पता बदल जाता है। उस पते से जुड़ा शहर और देश उसके साथ बदल जाते हैं। उस पते का मालिक नेटवर्क — आमतौर पर घरेलू ब्रॉडबैंड लाइन के बजाय कोई होस्टिंग कंपनी या VPN प्रदाता — भी बदल जाता है। यदि आपका एकमात्र प्रश्न था “यह साइट सोचती है कि मैं किस पते से आ रहा हूँ?”, तो काम करता VPN उसका पूरी तरह उत्तर देता है, और इस लेख में कुछ भी उसका खंडन नहीं करता।
बाकी सब कुछ ठीक वहीं रहता है जहाँ था। आपका डिवाइस नहीं हिलता: उसकी स्क्रीन का आकार, ग्राफ़िक्स चिप, इंस्टॉल किए फ़ॉन्ट, बैटरी व्यवहार, ऑडियो स्टैक और दर्जनों छोटी हार्डवेयर और सॉफ़्टवेयर रीडिंग जो मिलकर ब्राउज़र फ़िंगरप्रिंट बनती हैं, सुरंग खुलने से पहले और बाद में एक समान हैं। आपकी घड़ी नहीं हिलती, इसलिए आपका सिस्टम समयक्षेत्र उस जगह की रिपोर्ट करता रहता है जहाँ आप वास्तव में हैं। आपके ब्राउज़र और ऑपरेटिंग सिस्टम की भाषाएँ नहीं हिलतीं। आपकी कुकीज़, लॉग-इन खाते और ब्राउज़िंग इतिहास नहीं हिलते। सुरंग पैकेटों का रास्ता बदलती है; वह उनके अंत की मशीन को फिर से नहीं सजाती।
यह विभाजन ही कारण है कि अधिकांश “VPN पहचान” का नाम ग़लत रखा गया है। आम मामले में किसी ने VPN प्रोटोकॉल, सुरंग या एन्क्रिप्टेड कनेक्शन का पता नहीं लगाया। उन्होंने बेमेल का पता लगाया: IP एक देश का दावा करता है जबकि घड़ी दूसरे का, पता किसी डेटा सेंटर का है जबकि फ़िंगरप्रिंट घरेलू लैपटॉप का वर्णन करता है, भाषा सूची एक ऐसे यात्री का वर्णन करती है जो कभी यात्रा नहीं करता। साइटें उस परत, जो हिली, और उन परतों, जो नहीं हिलीं, के बीच के अंतर को अंक देती हैं। लीक को समझना, तब, वास्तव में सुरंग के बारे में नहीं है — यह उस हर चीज़ का ऑडिट है जो सुरंग पीछे छोड़ गई।
WebRTC: वह पता जो सुरंग के चारों ओर चलता है
WebRTC पेज के भीतर आवाज़, वीडियो और पीयर-टू-पीयर डेटा के पीछे की ब्राउज़र तकनीक है। दो ब्राउज़रों को सीधे जोड़ने के लिए उसे पहले यह खोजना होगा कि प्रत्येक तक कैसे पहुँचा जा सकता है, और उस खोज प्रक्रिया को ICE कहा जाता है। सरल शब्दों में, आपका ब्राउज़र उम्मीदवार — अपने स्वयं के संभावित पते — इकट्ठा करता है और उन्हें दूसरी ओर पेश करता है। कुछ वह स्वयं से पूछकर सीखता है, और अन्य STUN सर्वर से एक सरल प्रश्न पूछकर: “जहाँ तुम बैठे हो, वहाँ से मैं किस पते से कॉल कर रहा हूँ?” उत्तर विभिन्न उम्मीदवार प्रकारों के रूप में वापस आते हैं, और उनके बीच का अंतर ही पूरी लीक कहानी है।
एक होस्ट उम्मीदवार वह पता है जो आपकी मशीन सीधे रखती है: ऐतिहासिक रूप से, आपका स्थानीय नेटवर्क पता, जैसे 192.168 पता जो आपके राउटर ने आपको दिया। एक सर्वर-रिफ़्लेक्सिव उम्मीदवार वह सार्वजनिक पता है जो STUN सर्वर ने देखा — वह पता जो बाहरी दुनिया देखती है। जब WebRTC नया था, पेज दोनों को स्वतंत्र रूप से इकट्ठा कर सकते थे, जिससे दो क्लासिक लीक पैदा हुए: LAN पता बच निकला भले ही वह साइट के लिए बेकार था, और इससे भी बुरा, जब कोई ब्राउज़र VPN सुरंग के बाहर या बगल में STUN सर्वर से पूछता था, तो रिफ़्लेक्सिव उम्मीदवार भेस के पीछे के असली सार्वजनिक पते को उजागर कर देता था। VPN वेब ट्रैफ़िक के लिए पूरी तरह काम कर रहा था जबकि एक साइड चैनल चुपचाप वह प्रकाशित कर रहा था जो वह छिपा रहा था।
आधुनिक ब्राउज़रों ने इसे बहुत संकुचित कर दिया है। Chrome और Firefox अब आमतौर पर होस्ट पतों को यादृच्छिक mDNS नामों से बदल देते हैं — आपके असली LAN IP के बजाय एक घूमता हुआ .local होस्टनाम — इसलिए कोई पेज एक ऐसा उम्मीदवार देखता है जिसे वह आपके राउटर से वापस नहीं जोड़ सकता। कार्यान्वयन ब्राउज़र और संस्करण के अनुसार भिन्न होते हैं, कुछ WebRTC को सुरंग के माध्यम से सही ढंग से रूट करते हैं, और कॉर्पोरेट या एक्सटेंशन-संशोधित सेटअप फिर से भिन्न होते हैं, यही कारण है कि दो ईमानदार परीक्षण असहमत हो सकते हैं। कुंद सुधारों को सावधानी से बरतें: WebRTC को पूरी तरह अक्षम करना लीक को रोकता है और वैध कॉल भी तोड़ता है, जबकि उम्मीदवारों को “धोखा देने” का वादा करने वाले एक्सटेंशन अक्सर एक विश्वसनीय पते को अविश्वसनीय से बदल देते हैं — और एक अविश्वसनीय उम्मीदवार स्वयं एक विरोधाभास है जिसे भेस जाँच अंक दे सकती है।
DNS: वह रिज़ॉल्वर जो घर पर रह गया
आप जिस हर नाम पर जाते हैं उसे कुछ भी जुड़ने से पहले एक पते में अनुवादित करना होता है, और वह अनुवाद एक रिज़ॉल्वर करता है। यदि आपका ब्राउज़र या सिस्टम आपके इंटरनेट प्रदाता द्वारा सौंपे गए रिज़ॉल्वर का उपयोग करता रहता है — सीधे पहुँचा गया, सुरंग के बाहर — तो हर लुकअप एक साथ दो तरीकों से लीक होता है। क्वेरी स्वयं सामान्य DNS ट्रैफ़िक के स्पष्ट पैटर्न में आपके ISP के पास जाती हैं, यह उजागर करते हुए कि आप किन नामों को रिज़ॉल्व करते हैं भले ही उसके बाद के पेज VPN से यात्रा करते हैं। और कोई भी साइट जो यह देख सकती है कि किस रिज़ॉल्वर ने आपकी ओर से पूछा, वह जान जाती है कि आप मोटे तौर पर कहाँ हैं, क्योंकि लोग अत्यधिक रूप से अपने असली स्थान के पास के रिज़ॉल्वर का उपयोग करते हैं।
वह दूसरी लीक जितनी सुनाई देती है उससे अधिक सूक्ष्म है, और उसके लिए मानक परीक्षण सुंदर है। कोई परीक्षण पेज आपके ब्राउज़र से एक ऐसा नाम खोजने को कहता है जो कभी अस्तित्व में ही नहीं था — परीक्षक के नियंत्रण वाले डोमेन के तहत एक लंबा यादृच्छिक सबडोमेन। क्योंकि नाम अद्वितीय है, कोई कैश उसे नहीं रखता, इसलिए आपका रिज़ॉल्वर परीक्षक के आधिकारिक सर्वर से सीधे पूछने के लिए मजबूर होता है। वह सर्वर अब रिज़ॉल्वर का पता देखता है, और उसके नेटवर्क और देश को पेज पर वापस रिपोर्ट कर सकता है। EDNS क्लाइंट-सबनेट जानकारी का उपयोग करने वाले रूपांतर चीज़ों को और संकुचित कर सकते हैं, क्योंकि कुछ रिज़ॉल्वर क्वेरी के साथ आपके अपने पता-क्षेत्र का एक हिस्सा मददगार ढंग से आगे भेज देते हैं। इसमें से किसी के लिए भी सुरंग को तोड़ने की आवश्यकता नहीं है; इसके लिए केवल यह आवश्यक है कि आपके लुकअप आपके पेजों से अलग रास्ता लें।
जाल ज़्यादातर कॉन्फ़िगरेशन हैं, दुर्भावना नहीं। स्प्लिट-टनल सेटअप जानबूझकर कुछ ट्रैफ़िक — अक्सर DNS सहित — को गति या स्थानीय पहुँच के लिए VPN के बाहर भेजते हैं। हर डिवाइस को ISP रिज़ॉल्वर बाँटने वाले राउटर उनमें से एक पर VPN चलने के दौरान भी ऐसा करते रहते हैं। अपनी एन्क्रिप्टेड-DNS सेटिंग वाले ब्राउज़र सिस्टम और VPN प्रदाता के रिज़ॉल्वर दोनों को दरकिनार कर सकते हैं, एक लीक को ठीक करते हुए चुपचाप एक संगति समस्या पैदा कर सकते हैं यदि नया रिज़ॉल्वर एग्ज़िट से अलग देश में बैठा हो। काम का नियम इस लेख के बाकी हिस्से को दर्शाता है: रिज़ॉल्वर को वहाँ रहना चाहिए जहाँ एग्ज़िट रहने का दावा करता है, और उसे सुरंग के माध्यम से पहुँचना चाहिए, और यह जानने का एकमात्र तरीका कि दोनों सच हैं, बाहर से उसका परीक्षण करना है।
विरोधाभास: वह भेस जो स्वयं से बहस करता है
चार रीडिंग पर विचार करें जो कोई पेज एक सेकंड में ले सकता है। आपका IP पता आपको एम्स्टर्डम में रखता है। आपका सिस्टम समयक्षेत्र UTC−5 और अमेरिका के एक शहर की रिपोर्ट करता है। आपकी ब्राउज़र भाषा सूची एक ऐसी भाषा से शुरू होती है जो नीदरलैंड में शायद ही बोली जाती है, जिसमें डच कहीं नहीं है। और आपका यूज़र एजेंट Windows डेस्कटॉप का दावा करता है जबकि आपका ग्राफ़िक्स रेंडरर एक मोबाइल चिप का नाम लेता है। इनमें से कोई भी मान अकेले कुछ साबित नहीं करता — यात्री, प्रवासी, वर्चुअल मशीन और अजीब कॉन्फ़िगरेशन हर दिन निर्दोष रूप से इनमें से प्रत्येक को पैदा करते हैं। एक साथ, वे बहस करते हैं। भेस जाँच बस उस बहस को सुनने और उसे भार सौंपने की एक मशीन है।
कुछ विरोधाभास इतनी बार दोहराए जाते हैं कि वे मानक बैटरी बन गए हैं। समयक्षेत्र बनाम IP देश सबसे तेज़ है, क्योंकि घड़ी किसी पेज के लिए पढ़ना आसान है और अधिकांश VPN उपयोगकर्ता उसे बदलने के बारे में कभी नहीं सोचते। भाषा बनाम IP देश नरम है — लोग वैध रूप से दूसरी भाषा में ब्राउज़ करते हैं — लेकिन एग्ज़िट देश की भाषा की पूर्ण अनुपस्थिति फिर भी गिनी जाती है। यूज़र एजेंट बनाम प्लेटफ़ॉर्म कच्ची धाँधली को पकड़ता है: एक स्ट्रिंग एक ऑपरेटिंग सिस्टम का दावा करती है जबकि टच समर्थन, स्क्रीन आकार या GPU रेंडरर दूसरे का वर्णन करता है। होस्टिंग ASN बनाम आवासीय कहानी सबसे शांत और अक्सर सबसे निर्णायक है: एग्ज़िट पता किसी डेटा-सेंटर नेटवर्क का है, जबकि सत्र के बारे में बाकी सब कुछ एक साधारण घरेलू उपयोगकर्ता का वर्णन करता है जो, वास्तव में, किसी ब्रॉडबैंड प्रदाता से आ रहा होता।
यही कारण है कि संगति, न कि कोई एकल मान, वह है जिसे साइटें वास्तव में अंक देती हैं। किसी धोखाधड़ी प्रणाली, दुरुपयोग फ़िल्टर या स्ट्रीमिंग कैटलॉग को शायद ही कभी यह साबित करने की आवश्यकता होती है कि VPN मौजूद है; उसे एक जोखिम संख्या चाहिए, और विरोधाभास उसे खिलाने के लिए सस्ते, मज़बूत सबूत हैं। वह सत्र जिसका पता, घड़ी, भाषा, रिज़ॉल्वर और हार्डवेयर एक ही कहानी कहते हैं, फिर भी VPN सत्र हो सकता है — लेकिन वह अपने विरुद्ध अंक देने के लिए कोई आंतरिक बहस पेश नहीं करता, इसलिए उसके साथ वैसा ही व्यवहार किया जाता है जैसी कहानी वह कहता है। इसके विपरीत, बिल्कुल VPN न रखने वाला उपयोगकर्ता केवल गड़बड़ी से ख़राब अंक पा सकता है: दूसरे देश में इमेज किया गया काम का लैपटॉप, विदेशी भाषा में छोड़ा गया ब्राउज़र, दूसरे महाद्वीप पर कॉर्पोरेट रिज़ॉल्वर। जाँच सुसंगति को मापती है। वह वास्तव में कभी सुरंग को नहीं माप रही थी।
संगत दिखने के लिए एक चेकलिस्ट
उस क्रम में काम करें जिसमें कोई जाँचकर्ता आपको पढ़ता है। पहले एग्ज़िट देश चुनें, जानबूझकर, और बाकी सब कुछ उसका अनुसरण करने दें — आपके द्वारा चुनी गई जगह के साथ संगति बाद में सजाए गए यादृच्छिक एग्ज़िट को हराती है। सिस्टम समयक्षेत्र को उस देश से मिलान करने के लिए सेट करें, केवल ब्राउज़र घड़ी को नहीं, क्योंकि पेज सिस्टम ज़ोन को पढ़ते हैं। ब्राउज़र भाषा को संरेखित करें: एग्ज़िट देश की भाषा को पहले रखें या कम से कम सूची में मौजूद रखें, और जहाँ हो सके वहाँ उसमें ब्राउज़ करें। प्रत्येक कदम परतों के बीच एक बहस को हटाता है, और एक साथ वे उन विरोधाभासों को कवर करते हैं जिन्हें साइटें सबसे अधिक जाँचती हैं।
फिर साइड चैनल बंद करें। WebRTC को सुरंग के भीतर रखें या, यदि आप कभी ब्राउज़र में कॉल का उपयोग नहीं करते हैं, तो पूरी तरह बंद कर दें — और यह फिर से जाँचें कि आपके ब्राउज़र का वास्तव में क्या व्यवहार है, बजाय इसके कि आप मान लें। सुनिश्चित करें कि DNS सुरंग के माध्यम से एक ऐसे रिज़ॉल्वर तक रिज़ॉल्व होता है जो एग्ज़िट कहानी में फ़िट बैठता है, और जब आप जो कहानी पेश करते हैं वह आवासीय हो तो आवासीय एग्ज़िट को प्राथमिकता दें, क्योंकि कोई घड़ी सेटिंग डेटा-सेंटर ASN को ठीक नहीं करती। हर एक बदलाव के बाद, ब्राउज़र फ़िंगरप्रिंट परीक्षण फिर से चलाएँ और उसे वैसे पढ़ें जैसे कोई साइट पढ़ेगी: एक लाल झंडे की तलाश में नहीं, बल्कि यह पूछते हुए कि क्या पूरा पेज एक कहानी कहता है। यह जानने के लिए कि ऐसा परीक्षण उन रीडिंग को इकट्ठा किए बिना क्यों चल सकता है जो वह आपको दिखाता है, देखें गोपनीयता परीक्षण कोई डेटा कैसे नहीं रखता।
ईमानदार चेतावनी के साथ समाप्त करें, क्योंकि अदृश्यता का वादा करने वाली चेकलिस्ट आपसे झूठ बोल रही है। संगति विरोधाभासों को हटाती है; वह पहचान को नहीं हटाती। आपका ब्राउज़र फ़िंगरप्रिंट — पहले खंड में स्थिर रहे हार्डवेयर, फ़ॉन्ट, ग्राफ़िक्स और सेटिंग का संयोजन — फिर भी यात्राओं और पतों के बीच आपके डिवाइस को अलग कर सकता है, और आपका व्यवहार, खाते और आदतें किसी भी नेटवर्क रीडिंग की तुलना में अधिक विश्वसनीय रूप से आपकी पहचान करती हैं। एक सुसंगत भेस आकस्मिक पहचान की लागत बढ़ाता है और आसान, स्वचालित प्रकार को रोकता है। एक दृढ़ पर्यवेक्षक के सामने जो समय के साथ व्यवहार देख सकता है, यह कभी गारंटी नहीं था, और कोई भी उपकरण या प्रदाता जो आपको एक बेचता है उसे कम भरोसे के योग्य होना चाहिए, अधिक नहीं।