Czym jest namierzanie użytkowników VPN? Jak uniknąć śledzenia?

Wstęp: dlaczego VPN to nie „karta wyjścia z więzienia”

Typowe założenie brzmi: zainstaluj NordVPN / Surfshark / własny WireGuard, zmień wyjściowe IP i „nikt już nie wie, kim jesteś”. To myślenie z lat 2010. Technologie śledzenia dawno wyszły poza „warstwę IP”:

• Wykrycie, że „korzystasz z VPN”, to podstawowa umiejętność systemów antyfraudowych (sprawdzają, czy IP należy do numeru ASN dostawcy VPN — niemal wszystkie zakresy centrów danych komercyjnych VPN są już oznaczone)
• Do ustalenia „Twojego wcześniejszego prawdziwego IP” wystarczy warstwa IP — wycieki WebRTC / IPv6 / DNS / obejście CDN do serwera źródłowego — a jedna wpadka wystarczy, by trwale oznaczono Cię plikiem cookie
• Ustalenie, „kim dokładnie jesteś”, w ogóle nie zależy od IP — opiera się na fingerprintingu przeglądarki, wzorcach zachowań i korelacji między kontami
• W skrajnych przypadkach pomoc prawna (nakazy sądowe / śledztwa transgraniczne) może zmusić dostawców VPN do przekazania logów

Innymi słowy, nie namierza Cię pojedyncza luka, tylko część wspólna N wymiarów — Ty musisz obronić każdy z nich, a śledzącemu wystarczy sukces w dowolnym jednym. Dlatego „pełna anonimowość” jest inżynieryjnie niemal niemożliwa, ale „znaczne ograniczenie korelacji” jest osiągalne — ten artykuł pokazuje, jak to zrobić.

① Wycieki na warstwie IP — Twoje prawdziwe IP ujawnione wprost

Najbardziej klasyczny i najczęstszy przypadek. VPN przejmuje tylko ruch HTTP / TCP przeglądarki, ale poniższe kanały mogą całkowicie ominąć VPN i przekazać drugiej stronie publiczne IP Twojego domowego łącza:

1.1 Wycieki WebRTC

Wbudowany w przeglądarkę WebRTC (używany do rozmów wideo) aktywnie korzysta z protokołu STUN, aby poznać widziane przez siebie publiczne IP, a JavaScript może tę wartość bezpośrednio odczytać. Proxy HTTP / SOCKS przechwytują tylko TCP, a STUN działa po UDP, całkowicie omijając proxy przez domową kartę sieciową i ujawniając Twoje prawdziwe IP.

Obrona: Używaj VPN w trybie TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale), który przejmuje cały ruch TCP+UDP na wirtualnej karcie sieciowej. Jeśli używasz proxy tylko w przeglądarce, ogranicz WebRTC zasadą, zamiast go usuwać: zasada dla firm w Chrome / Edge WebRtcIPHandling = disable_non_proxied_udp; Brave: włącz „Disable non-proxied UDP”; Firefox: about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Wypróbuj: Skorzystaj z testu wycieków /leak i sprawdź, czy publiczne IP zwrócone przez WebRTC STUN zgadza się z Twoim wyjściem HTTP.

1.2 Wycieki IPv6 przy dual stack

Twój VPN obsługuje tylko IPv4, ale domowe łącze ma też IPv6 — przeglądarka woli wychodzić przez IPv6, całkowicie omijając VPN. To niezwykle częsta luka u użytkowników domowych łączy China Telecom.

Obrona: Używaj VPN, który obsługuje zarówno IPv4, jak i IPv6, albo wyłącz IPv6 na poziomie systemu / przeglądarki. W Windows zmień ustawienie w rejestrze; w macOS użyj networksetup.

1.3 Wycieki DNS (omówione osobno, zob. ② Warstwa DNS)

1.4 Obejście CDN do serwera źródłowego

Jeśli strona korzysta z CDN, np. Cloudflare, faktycznie łączysz się z IP węzła brzegowego CDN — ale jeśli atakujący zdobędzie prawdziwe IP serwera źródłowego, może ominąć CDN i połączyć się z nim bezpośrednio. Działa to też w drugą stronę na korzyść śledzących: jeśli węzeł CDN, z którym się łączysz, jest w Chinach, ale jakiś zasób statyczny w tej samej sesji jest pobierany bezpośrednio z serwera źródłowego (poza CDN), Twoje prawdziwe IP trafia do logów dostępu serwera źródłowego.

Obrona: Ten skrajny przypadek zależy głównie od tego, czy docelowa strona sama jest ściśle skonfigurowana — po stronie użytkownika niewiele da się zrobić.

② Wycieki na warstwie DNS — domeny, o które pytasz, zdradzają Twoją tożsamość

Twój ruch IP idzie przez VPN, ale zapytania DNS mogą nadal trafiać do lokalnego dostawcy internetu. Wyciek może nastąpić na dwa sposoby:

2.1 Niezgodny kraj resolvera

Twoje wyjście VPN jest w Holandii, ale gdy system wysyła zapytania DNS, stub resolver korzysta z serwera DNS skonfigurowanego przez dostawcę domowego łącza (China Telecom). Gdy autorytatywny serwer nazw otrzymuje zapytanie, widzi źródłowe IP z sieci China Telecom — a to ujawnia Twoją prawdziwą lokalizację operatorom każdej domeny, którą odwiedzasz.

2.2 Wycieki podsieci przez ECS

Publiczne resolvery rekurencyjne (Google 8.8.8.8 ma domyślnie włączone EDNS Client Subnet) przekazują Twoją prawdziwą podsieć /24 docelowemu serwerowi autorytatywnemu na potrzeby „routingu CDN zależnego od lokalizacji”. Ale w tym momencie Twoja podsieć zostaje ujawniona zdalnemu serwerowi autorytatywnemu — to dokładniejsze niż wyjściowe IP resolvera i wskazuje podsieć Twojej okolicy.

Obrona:

• Wymuś w kliencie VPN własny serwer DNS — używaj DNS dostawcy VPN (NordVPN / Mullvad / ProtonVPN mają własne)
• Nie pozwól, by zapytania DNS wyciekały poza tunel — resolver zobaczyłby wtedy Twoje prawdziwe IP, które nie pasuje do ruchu WWW, i natychmiast by Cię zdradziło. Pamiętaj, że 1.1.1.1 / 8.8.8.8 działają w anycast: dopóki zapytanie idzie przez tunel, trafia w pobliże wyjścia VPN i niczego nie ujawnia. Prawdziwym problemem jest system łączący się z nimi bezpośrednio, z pominięciem tunelu
• Jeśli już wybierasz publiczny resolver rekurencyjny, upewnij się przynajmniej, że jest w tym samym kraju co wyjście VPN
• Używaj DoH (DNS-over-HTTPS), aby wymusić szyfrowanie zapytań DNS i zapobiec ich podglądaniu przez dostawcę internetu metodą man-in-the-middle

Wypróbuj: Nasz test wycieków DNS /leak działa na własnym autorytatywnym serwerze nazw i faktycznie kieruje zapytania Twojej przeglądarki do naszego serwera, dzięki czemu widzisz IP resolvera + podsieć ECS. Pełne wyjaśnienie mechanizmu znajdziesz w kompletnym przewodniku po publicznych resolverach DNS.

③ Fingerprinting TLS (ja3 / ja4) — kim jest Twój klient

Podczas uzgadniania połączenia HTTPS klient wysyła do serwera pakiet ClientHello, w którym wymienia obsługiwane wersje TLS, zestawy szyfrów, rozszerzenia, krzywe eliptyczne i inne parametry. Dokładna kolejność i zawartość tych pól różnią się w każdym kliencie (Chrome 124 vs Firefox 123 vs curl vs Python requests), a wynikający z nich łączny fingerprint to znany w branży ja3 / ja4.

Strony mogą zapisywać fingerprint ja3 / ja4 każdego odwiedzającego i porównywać go z User-Agent — jeśli Twój UA podaje się za Chrome 124, a fingerprint ja3 pasuje do Python requests, to ruch bota lub skryptu. To także jeden z kluczowych sygnałów usług antybotowych, takich jak Cloudflare i Akamai.

Obrona:

• Używaj prawdziwej, popularnej przeglądarki (Chrome / Firefox / Edge) — nie uruchamiaj gołego Selenium / Puppeteer, ich fingerprinty ja3 są bardzo charakterystyczne
• Gdy potrzebujesz automatyzacji, użyj undetected-chromedriver / Playwright + curl-impersonate
• Nie instaluj rozszerzeń „antyfingerprintingowych” — w rzeczywistości sprawiają, że Twój ja3 jest bardziej charakterystyczny niż w zwykłym Chrome, co w praktyce oznacza Cię jako osobę używającą narzędzi przeciw śledzeniu

④ Fingerprinting HTTP / przeglądarki — Canvas / WebGL / czcionki / strefa czasowa

Fingerprinty widoczne na warstwie aplikacji są bogatsze i trudniej się przed nimi bronić:

Kluczowa pułapka: strefa czasowa / język / czcionki niezgodne z krajem wyjścia VPN to niezwykle silny sygnał „korzystania z VPN”. VPN przenosi Cię do USA, ale strefa czasowa przeglądarki to nadal Asia/Shanghai, a język to zh-CN — od razu widać.

Obrona:

• „Wyglądaj zwyczajnie” — nie instaluj w przeglądarce rozszerzeń antyfingerprintingowych, bo to samo w sobie jest nietypowe. Zwykły fingerprint Chrome przeciętnego użytkownika to najlepszy kamuflaż.
• Rozdziel zastosowania: główna przeglądarka do działań pod prawdziwą tożsamością, a osobny profil przeglądarki / VM / Tails / Whonix do działań wrażliwych pod względem prywatności
• Dbaj o spójność kraju wyjścia VPN, strefy czasowej systemu i języka przeglądarki — przynajmniej nie dopuść do wycieku oczywistego sygnału „jestem użytkownikiem z Chin, łączę się przez amerykański VPN”
• Przeglądarka Tor została zaprojektowana właśnie do tego — każdy użytkownik wygląda identycznie, kosztem wydajności

Wypróbuj: Skorzystaj z testu fingerprintu przeglądarki /fingerprint i sprawdź unikalność swoich 14 wymiarów fingerprintu.

⑤ Fingerprinting na warstwie TCP/IP — Initial Window / TTL / MTU

Jeszcze przed warstwą aplikacji fingerprinty istnieją na warstwie sieciowej. Implementacja stosu TCP/IP w każdym systemie operacyjnym nieco się różni:

• Początkowy TTL: Windows domyślnie 128, Linux 64, macOS 64, iOS 64
• TCP Initial Window Size: Windows 64 KB, Linux 14600, macOS 65535
• Kolejność opcji TCP: różne systemy wysyłają opcje MSS / SACK / Timestamp w różnej kolejności
• MTU: zwykłe łącze domowe 1500, PPPoE 1492, tunele VPN zwykle 1380–1450

Narzędzie p0f (pasywne rozpoznawanie systemu po fingerprincie) wykorzystuje właśnie te pola i określa system operacyjny drugiej strony bez wysyłania żadnych pakietów testowych. Strony mogą zbierać te informacje i porównywać je z deklarowanym UA — jeśli UA wskazuje Mac Safari, ale TTL wynosi 128, a Initial Window ma wartości typowe dla Windows, to w rzeczywistości korzystasz z Windows z podrobionym UA Maca.

MTU to kolejny wyciek informacji „korzystasz z VPN” — tunele VPN mają zwykle MTU poniżej 1500, więc ruch wyraźnie różni się od natywnego łącza.

Obrona:

• Używaj VPN w trybie TUN: ruch przejmuje stos sieciowy serwera VPN, więc strony widzą fingerprint TCP/IP serwera VPN, a nie Twojego urządzenia
• OpenVPN / WireGuard domyślnie działają w trybie TUN; proxy HTTP/SOCKS nie — to kluczowa różnica
• Nie podnoś na siłę MTU tunelu do 1500, żeby „mniej przypominać VPN” — sama enkapsulacja tunelu zajmuje kilkadziesiąt bajtów, a przesada powoduje fragmentację lub czarną dziurę PMTUD (duże pakiety utykają, strony ładują się do połowy). Zostaw domyślne ustawienie klienta (WireGuard 1420, OpenVPN automatycznie)

⑥ Analiza zachowań — czas ruchu + nawyki wprowadzania

To wymiar, przed którym najtrudniej się obronić, bo w ogóle nie opiera się na technicznych fingerprintach, tylko w całości na uczeniu maszynowym:

• Rozkład czasu aktywności: jeśli Twoje codzienne godziny aktywności są takie same na wielu kontach, to ta sama osoba
• Ruch myszy / prędkość przewijania / rytm pisania: unikalne dla każdej osoby i zbierane przez banki / systemy antyfraudowe
• Długość sesji / wzorce nawigacji: Twoje nawyki przeglądania są unikalne
• Cechy wprowadzanego tekstu: częstość literówek, preferencje słownictwa i gramatyka

Obrona:

• Ściśle rozdzielaj godziny korzystania z poszczególnych kont — nie loguj się jednocześnie na „konto A + konto B”; rozdziel to o kilka godzin
• Gdy naprawdę potrzebujesz anonimowości, zmień urządzenie (z laptopa na telefon / tablet)
• Nie da się w pełni przed tym obronić, ale można znacząco utrudnić korelację

⑦ Logi dostawcy VPN + jurysdykcja prawna

Dla VPN to grzech pierworodny. Ufasz, że dostawca VPN nie przechowuje logów, ale w rzeczywistości:

• Komercyjni dostawcy VPN mogą zostać kupieni (Avast został kupiony przez NortonLifeLock → zmieniła się jego polityka prywatności)
• Dostawca może potajemnie zbierać logi (w 2017 roku PureVPN przekazał logi użytkowników FBI, choć wcześniej deklarował politykę „no-log”)
• Nakazy sądowe mogą wymusić współpracę — USA / Wielka Brytania / Kanada / Australia / Nowa Zelandia (Five Eyes) akceptują śledztwa transgraniczne
• Nine Eyes = Five Eyes + Dania / Francja / Holandia / Norwegia
• Fourteen Eyes = Nine Eyes + Niemcy / Belgia / Włochy / Hiszpania / Szwecja

Kryteria wyboru:

Własny VPN daje więcej kontroli — ale dostawcy VPS (Vultr / Hetzner / DigitalOcean) prowadzą własne logi i mogą współpracować ze śledczymi. Prawdziwa anonimowość wymaga zakupu VPS za gotówkę / kryptowaluty i rejestracji na fałszywą tożsamość, co oznacza sporo pracy inżynieryjnej.

⑧ Korelacja między kontami — wiele kont z tymi samymi cookies / fingerprintem

Po zalogowaniu na konto A przeglądarka przechowuje cookies / localStorage / cache. Jeśli przełączysz się na konto B w tej samej przeglądarce, strona od razu rozpozna, że to ta sama osoba.

• Ten sam fingerprint + logowanie na wiele kont w krótkim czasie = korelacja między kontami
• Śledzenie cookies między witrynami (choć nowoczesne przeglądarki zaczynają to ograniczać)
• Skrypty śledzące firm trzecich (Google Analytics / Facebook Pixel) łączące aktywność na różnych stronach

Obrona:

• W Firefox użyj rozszerzenia Multi-Account Containers: każde konto ma odizolowane cookies / pamięć
• Wiele profili w Chrome (awatar w prawym górnym rogu → dodaj profil)
• Środek ostateczny: uruchamiaj różne konta w osobnych maszynach wirtualnych, każda z innym wyjściem VPN

Podsumowanie strategii obrony

Praktyczna rada: jak anonimowy naprawdę musisz być?

Zanim zdecydujesz, jak głęboka ma być obrona, ustal najpierw, kto tak naprawdę Cię śledzi:

• Reklamodawcy + brokerzy danych (niska intensywność): uBlock Origin + odrzucanie cookies firm trzecich + zwykły VPN wystarczą w zdecydowanej większości codziennych sytuacji
• Antyfraudowe systemy oceny ryzyka (średnia intensywność): powyższe + spójny DNS z VPN + zgodna strefa czasowa / język + odizolowane profile przeglądarki
• Konkurencja biznesowa / scrapery (średnio-wysoka intensywność): powyższe + tryb TUN + prawdziwa przeglądarka (bez śladów Selenium) + usuwanie pozostałych cookies
• Organy państwowe / śledztwa transgraniczne (ekstremalna intensywność): wszystko powyżej to dopiero podstawa. Potrzebujesz Tor / Whonix / Tails / VPS kupionego za gotówkę + XMR + całkowicie odizolowanych urządzeń

Większości osób wystarczą poziomy 1–2; poziom 3 i wyżej to domena specjalistów. Nie komplikuj sobie codziennego korzystania anonimowością, której tak naprawdę nie potrzebujesz.