假设我使用的是 Starbucks Wifi,如果我想保持匿名,是否有必要使用 VPN?

信息安全 匿名
2021-09-07 03:15:30

使用 Starbucks Wifi 不会让我有点匿名,因为我的 IP 地址与连接到同一网络的其他用户相同?因此,假设我不希望我连接的网站知道我的身份,则无需使用 VPN。当然,假设我的浏览器指纹是唯一的,该网站可以确定我是谁。但是,假设我每次会话都更改浏览器指纹,那么我应该没问题。正确的?

4个回答

您的场景属于 VPN 的主要用例之一,即保护自己免受不可信的公共 Wi-Fi 热点的影响。其他用例是,在流式传输和访问某些网站时克服地理限制。

VPN 最基本的卖点是允许使用私人连接访问公共互联网。

有点匿名,因为我的 IP 地址与连接到同一网络的其他用户相同?

“有点”是对的,但拥有不同的 IP 地址并不意味着您的身份和连接是安全的。正如您所提到的,同一网络上还有其他用户,仅此一项就使您试图实现的匿名性无效。

匿名应该是您最不担心的,从安全的角度来看,我更关心这一点。

“错位”给出了很好的答案。

我想补充几句关于匿名的内容。

VPN 将隐藏您的真实 IP。但从匿名的角度来看,仅此而已。不幸的是,浏览器向网站透露了太多信息,并且在大多数情况下,您无法阻止浏览器中的 JavaScript 与其后端通信并将您的识别信息发送给他们(阻止某些请求通常会使网站无法运行)。

有一些浏览器扩展可以伪造一些用于指纹的参数,例如用户代理字符串或画布指纹。但其他内容对网站仍然可见,无需任何更改,例如:

  • 语言:~1 位
  • HTTP 接受标头:~2 位
  • 时区:~6 位
  • 系统字体:~10 位
  • 屏幕尺寸和颜色深度:~5 位
  • WebGL 供应商和渲染器:~12 位

这些参数提供 36 位信息。这足以唯一识别约 70 000 000 000 台设备,是世界人口的约 10 倍。如果添加 WebGL 指纹 ~14 位,与画布指纹相比更难伪造,音频上下文指纹 ~8 位也难以伪造,则将有更多识别信息,约 58 位。还有更多参数。

更可靠的解决方案中的客户识别可能比直接计算单个指纹号码更复杂。因此,伪造一两个参数并不能真正帮助您从跟踪网站中伪装出来。

TLDR

如果某些站点能够负担得起最先进的指纹识别,那么当您使用 VPN 时,它们很有可能也会唯一地识别您。

更新

下面的评论是对的。70 000 000 000 台设备的数量并不完全正确。我们应该考虑到,某些参数组合比其他参数组合出现的频率更高。例如,绝大多数使用意大利语的用户都位于 CET 时区。这就是为什么知道语言是 Italian 并且时区是 CET并没有比只知道语言是 Italian更多的信息。在这种情况下,时区数据几乎没有提供额外信息。

如果我们看一下Panopticlick,我们会清楚地看到这一点。识别信息的正式总和可以给出 70 - 80 位。考虑到它们组合的频率,它们一起只能给出 16 - 18 位。

根据您在说 VPN 时所谈论的内容,如果您使用它,您的匿名性可能会降低。

唯一改变的是 IP 地址(指纹不受影响,cookie 和本地存储,都一样)。

实际上,VPN 仅意味着您通过某种可能是安全的协议连接到另一个网络(有不同的协议,它们的安全程度也不同)。这意味着 IP 地址现在是您的 VPN 服务器的 IP 地址,它要么在您家中(例如我的情况),要么是您租用的某些服务器。无论哪种情况,您都比“星巴克的某个人”要匿名得多

现在,最近(2-3 年),VPN 还指“支付一些稍微值得信赖的公司”,通常是在各方面都更好、超级安全、保护你免受黑客和病毒侵害的承诺下,如果你喝了它,它也可能会治愈 COVID。他们做所谓的“VPN”的方式实际上更像是一个透明代理。有了加密,是的。
有时您需要在您的设备上安装一个应用程序,有时则不需要,实现方式不同。有时它也是“免费的”。尽管请注意“免费”通常是最昂贵的。

虽然这种 VPN 确实具有网络服务器现在不再将您识别为个人的优点(尽管由于站点共享跟踪数据和指纹,它很可能无论如何),缺点是您的所有流量都通过至少不是非常值得信赖,有时甚至是完全不值得信赖的派对。如果不出意外,该方现在知道您连接到哪些站点(如果他们插入适当的证书,他们也可以做一个中间人)。
还有一些其他缺点,例如延迟、封装开销等,但它们与大多数人无关。

现在的问题是,一个非犯罪、非恐怖分子合理需要多少匿名性?

对我来说,我通过在手机上使用 NextDNS(以及在家中使用 Pihole)获得的匿名性,它阻止了超过 99% 的所有跟踪器、信标、像素垃圾以及你所说的它们,同时消除了 90%所有的广告,包括本网站和 youtube 上的 annyoing 广告……都很好……刚刚好!
只要 youtube 不向我推荐与我前一天在 Amazon Fire TV 上观看的内容相关的内容,并且只要亚马逊在新安装的从未运行过的 Ubuntu 系统上不向我提供与我的内容相关的内容前一天在不同的设备上在谷歌上搜索(信不信由你,我实际上在几年前就发生过这种情况,这就是开始使用 Pihole 的原因),一切都很好。足够的匿名性。
有些事情你可以做,以及无论如何都无法防御的事情。用 1% 的努力可以获得 99% 的结果。

首先,就我而言,所有当前存在的答案通常都是正确的。

使用星巴克(或其他一些免费的 wifi),您将是“匿名的”,因为仅 IP 地址无法追溯到您。

然后,您的浏览器将发送 cookie。这些 cookie 可能会链接到 Facebook 个人资料或其他内容。最重要的是,正如另一个答案指出的那样,您会受到浏览器指纹识别的影响。

正如已经概述的那样,您可能会通过相关性发现。很容易找到位置(星巴克)和时间。有闭路电视吗?您是否通过信用卡或其他可追踪的方式(iow,使用现金)付款。星巴克可能会保留日志,因此您还需要更改适配器的 MAC 地址。可能存在一些 MAC <=> 所有者链接(如果您说的是 Apple 客户,他们是否会将您机器的序列号与您关联?对于每台机器,他们是否有 MAC 地址?)。你有手机吗?开了吗?它有wifi吗?是否有人记录了周五 14:00 在星巴克,一些手机 ping 了一个 wifi 网络“JOHN_SMITH_HOME”的事实?

所以是的,从 IP 的角度来看,您将是匿名的。实现实际匿名是不同的。使用 VPN 应该为您提供一个额外的层,他们通常会声明他们不保留日志,但我很确定历史至少在一个案例中证明了相反的情况。然后归结为您对 VPN 提供商的信任程度。

最后是TOR。如果使用 TOR 浏览器,您还可以获得极大减小指纹大小的优势。有针对 TOR 的攻击(相关攻击),但我认为它们不适用于您的案例。

现在已经涵盖了,还有关于内容的额外内容。按内容识别人员的几种方法:

  • 图片中的EXIF标签。
  • 更高级:如果这是文本,则通过您使用语言的方式来识别您。这不是反向搜索,例如“哦,这是一段文字,告诉我们是谁写的”,而是“嘿,这是一段文字,这是这 10 个人的文字,告诉我们谁最有可能拥有写了第一段”。
  • 可能有一些方法可以将图片链接到特定的相机(Facebook 有关于它的专利,这并不意味着他们能够做到......这并不意味着其他人不能做到)。
  • 在非常具体的情况下,假设您在网上输入一些帖子并且您输入的内容是逐个字母发送的,那么您的输入模式可能会与您匹配。就像关于语言的那个一样,我不知道有任何全球数据库会为一个模式提供一个匹配它的人员列表,但给出一个“嫌疑人”列表,这有助于缩小范围。(注意:您可以通过在某个受信任的地方(例如离线应用程序)键入文本来解决该问题,然后复制/粘贴...也就是说,我不知道有任何网站在积极进行此类分析。 )

而且我可能错过了一些方法;)