VPN izi sürme nedir? Takip edilmekten nasıl kaçınılır?

Giriş: VPN neden bir “dokunulmazlık kartı” değildir

Yaygın varsayım şudur: NordVPN / Surfshark kurun ya da kendi WireGuard sunucunuzu kurun, çıkış IP'nizi değiştirin ve artık “kim olduğunuzu kimse anlayamaz”. Bu 2010'ların bakış açısıdır. İzleme teknolojisi “IP katmanını” çoktan geride bıraktı:

• “VPN kullandığınızı” tespit etmek temel bir risk kontrol yeteneğidir (IP'nin bir VPN sağlayıcısının ASN'sine ait olup olmadığına bakılır — ticari VPN'lerin veri merkezi aralıklarının neredeyse tamamı zaten işaretlenmiştir)
• “Önceki gerçek IP'nizi” belirlemek için IP katmanı yeterlidir — WebRTC / IPv6 / DNS sızıntıları / CDN kaynak sunucusunu atlatma — ve tek bir hata, kalıcı olarak bir çerezle etiketlenmenize yeter
• “Tam olarak hangi kişi olduğunuzu” belirlemek IP'ye hiç dayanmaz — tarayıcı parmak izine, davranış kalıplarına ve hesaplar arası ilişkilendirmeye dayanır
• Uç durumlarda hukuki yardım (mahkeme celbi / sınır ötesi soruşturmalar) VPN sağlayıcılarını kayıtları teslim etmeye zorlayabilir

Başka bir deyişle, sizi izleyen tek bir güvenlik açığı değil, N boyutun kesişimidir — siz her birini savunmak zorundasınız, izleyicinin ise yalnızca birinde başarılı olması yeterli. Bu yüzden “tam anonimlik” mühendislik açısından neredeyse imkânsızdır, ama “ilişkilendirmeyi önemli ölçüde azaltmak” mümkündür — bu makale bunun nasıl yapılacağını gösteriyor.

① IP katmanı sızıntıları — gerçek IP'niz doğrudan açığa çıkar

En klasik ve en yaygın durum. VPN yalnızca tarayıcının HTTP / TCP trafiğini devralır; ancak aşağıdaki kanallar VPN'i tamamen atlayıp evinizin genel IP'sini doğrudan karşı tarafa iletebilir:

1.1 WebRTC sızıntıları

Tarayıcının yerleşik WebRTC'si (görüntülü aramalar için kullanılır) gördüğü genel IP'yi bulmak için STUN protokolünü etkin olarak kullanır ve JavaScript bu değeri doğrudan okuyabilir. HTTP / SOCKS proxy'leri yalnızca TCP'yi yakalar, STUN ise UDP üzerinden çalışır; proxy'yi tamamen atlayıp ev ağ bağdaştırıcınız üzerinden çıkar ve gerçek IP'nizi açığa çıkarır.

Savunma: TUN modunda bir VPN kullanın (Mihomo / Clash Premium / WireGuard TUN / Tailscale); bu, sanal ağ bağdaştırıcısındaki tüm TCP+UDP trafiğini devralır. Yalnızca tarayıcıda proxy kullanıyorsanız WebRTC'yi kaldırmak yerine bir ilkeyle kısıtlayın: Chrome / Edge kurumsal ilkesi WebRtcIPHandling = disable_non_proxied_udp; Brave: “Disable Non-Proxied UDP” seçeneğini etkinleştirin; Firefox: about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Deneyin: Sitemizdeki /leak sızıntı testi ile WebRTC STUN'un döndürdüğü genel IP'nin HTTP çıkışınızla eşleşip eşleşmediğini kontrol edin.

1.2 IPv6 çift yığın sızıntıları

VPN'iniz yalnızca IPv4 trafiğini proxy'liyor, ancak ev internetinizde IPv6 da var — tarayıcı IPv6 üzerinden çıkmayı tercih eder ve VPN'i tamamen atlar. Bu, China Telecom ev interneti kullanıcılarında son derece yaygın bir açıktır.

Savunma: Ya hem IPv4 hem IPv6 trafiğini proxy'leyen bir VPN kullanın ya da IPv6'yı sistem / tarayıcı düzeyinde devre dışı bırakın. Windows'ta kayıt defterini düzenleyin; macOS'ta networksetup kullanın.

1.3 DNS sızıntıları (ayrıca ele alınıyor, bkz. ② DNS katmanı)

1.4 CDN kaynak sunucusunu atlatma

Bir site Cloudflare gibi bir CDN kullanıyorsa aslında bir CDN uç düğümü IP'sine bağlanırsınız — ancak bir saldırgan sitenin gerçek kaynak sunucu IP'sini ele geçirirse, CDN'i atlayıp siteye doğrudan erişebilir. Bu durum tersinden izleyiciler için de geçerlidir: bağlandığınız CDN düğümü Çin'deyse ama aynı oturumdaki bir statik kaynak doğrudan kaynak sunucudan çekiliyorsa (CDN kapsamı dışında kalmışsa), gerçek IP'niz kaynak sunucunun erişim kayıtlarına düşer.

Savunma: Bu uç durum büyük ölçüde hedef sitenin kendi yapılandırmasının sıkı olmasına bağlıdır — kullanıcı tarafında yapılabilecekler sınırlıdır.

② DNS katmanı sızıntıları — sorguladığınız alan adları kimliğinizi ele verir

IP trafiğiniz VPN üzerinden gider, ancak DNS sorguları hâlâ yerel İSS'niz üzerinden gidebilir. Bunun iki sızıntı yolu vardır:

2.1 Çözümleyici ülkesi uyuşmazlığı

VPN çıkışınız Hollanda'da, ancak sisteminiz DNS sorgusu yaptığında stub çözümleyici ev internet sağlayıcınızın (China Telecom) yapılandırdığı DNS'i kullanır. Yetkili ad sunucusu sorguyu aldığında China Telecom'a ait bir kaynak IP görür — bu da gerçek konumunuzu, ziyaret ettiğiniz her alan adının arkasındaki işletmecilere açık eder.

2.2 ECS alt ağ sızıntıları

Genel özyinelemeli çözümleyiciler (örneğin Google 8.8.8.8, EDNS Client Subnet'i varsayılan olarak etkin tutar) gerçek /24 alt ağınızı “konuma dayalı CDN yönlendirmesi” için hedef yetkili sunucuya iletir. Ancak o anda alt ağınız uzaktaki yetkili sunucuya ifşa edilmiş olur — bu bilgi çözümleyicinin çıkış IP'sinden daha kesindir ve doğrudan oturduğunuz mahallenin alt ağını gösterir.

Savunma:

• VPN istemcinizi kendi belirlediğiniz bir DNS'i kullanmaya zorlayın — VPN sağlayıcısının kendi DNS'ini kullanın (NordVPN / Mullvad / ProtonVPN'de bu seçenek var)
• DNS sorgularının tünel dışına sızmasına izin vermeyin — aksi halde çözümleyici gerçek IP'nizi görür; bu da web trafiğinizle eşleşmez ve sizi anında ele verir. 1.1.1.1 / 8.8.8.8 adreslerinin anycast olduğunu unutmayın: sorgu tünelden geçtiği sürece VPN çıkışınıza yakın bir noktaya ulaşır ve hiçbir şey açığa çıkarmaz. Asıl sorun, sistemin tüneli atlayıp bunlara doğrudan bağlanmasıdır
• Genel bir özyinelemeli çözümleyici seçecekseniz en azından VPN çıkışınızla aynı ülkede olduğundan emin olun
• DNS sorgularını zorunlu olarak şifrelemek ve İSS'nin ortadaki adam (MITM) incelemesini önlemek için DoH (DNS-over-HTTPS) kullanın

Deneyin: Sitemizdeki /leak DNS sızıntı testi kendi yetkili ad sunucusunu çalıştırır ve tarayıcınızın sorgularını gerçekten sunucumuza yönlendirir; böylece çözümleyici IP'sini + ECS alt ağını görebilirsiniz. İşleyişin tamamı için: genel DNS çözümleyicileri kapsamlı rehberi.

③ TLS parmak izi (ja3 / ja4) — istemciniz kim?

HTTPS el sıkışması sırasında istemci sunucuya bir ClientHello paketi gönderir; bu pakette desteklediği TLS sürümleri, şifre takımları, uzantılar, eliptik eğriler ve daha fazlası listelenir. Bu alanların tam sırası ve içeriği her istemcide farklıdır (Chrome 124 vs Firefox 123 vs curl vs Python requests); bunların birleşiminden elde edilen parmak izi de sektörde ja3 / ja4 olarak bilinir.

Siteler her ziyaretçinin ja3 / ja4 parmak izini kaydedip User-Agent ile karşılaştırabilir — UA'nız Chrome 124 olduğunu iddia ediyor ama ja3 parmak iziniz Python requests ile eşleşiyorsa bu bot ya da betik trafiğidir. Bu aynı zamanda Cloudflare ve Akamai gibi bot karşıtı hizmetlerin kullandığı temel sinyallerden biridir.

Savunma:

• Kullanın: gerçek ve yaygın bir tarayıcı (Chrome / Firefox / Edge) — Selenium / Puppeteer'ı olduğu gibi çalıştırmayın; ja3 parmak izleri son derece belirgindir
• Otomasyon gerektiğinde undetected-chromedriver / Playwright + curl-impersonate kullanın
• “Parmak izi karşıtı” tarayıcı eklentileri kurmayın — bunlar ja3'ünüzü normal bir Chrome'dan bile daha belirgin hale getirir; bu da kendinizi takip karşıtı araç kullanan biri olarak işaretlemek demektir

④ HTTP / tarayıcı parmak izi — Canvas / WebGL / yazı tipleri / saat dilimi

Uygulama katmanında açığa çıkan parmak izleri daha zengindir ve bunlara karşı savunma daha zordur:

Kritik tuzak: Saat diliminizin / dilinizin / yazı tiplerinizin VPN çıkış ülkenizle uyuşmaması son derece güçlü bir “VPN kullanıyor” sinyalidir. VPN'iniz ABD'ye bağlanır ama tarayıcının saat dilimi hâlâ Asia/Shanghai ve dili zh-CN — anında belli olur.

Savunma:

• “Sıradan görünün” — tarayıcınıza parmak izi karşıtı eklentiler kurmayın; bunun kendisi anormaldir. Sıradan bir kullanıcının düz Chrome parmak izi en iyi kamuflajdır.
• Kullanım alanlarını ayırın: gerçek kimliğiniz için ana tarayıcınızı, gizlilik gerektiren işler için ayrı bir tarayıcı profili / VM / Tails / Whonix kullanın
• VPN çıkış ülkenizi, sistem saat diliminizi ve tarayıcı dilinizi tutarlı tutun — en azından “ABD VPN'i üzerinden bağlanan Çinli bir kullanıcıyım” sinyalini sızdırmayın
• Tor Browser tam da bunun için tasarlandı — her kullanıcı birbirinin aynısı görünür, bedeli ise performanstır

Deneyin: Sitemizdeki /fingerprint tarayıcı parmak izi testi ile 14 parmak izi boyutunuzun ne kadar benzersiz olduğunu görün.

⑤ TCP/IP katmanı parmak izi — Initial Window / TTL / MTU

Uygulama katmanına ulaşmadan önce bile ağ katmanında parmak izleri vardır. Her işletim sisteminin TCP/IP yığını uygulaması biraz farklıdır:

• Başlangıç TTL'si: Windows'ta varsayılan 128, Linux 64, macOS 64, iOS 64
• TCP başlangıç pencere boyutu (Initial Window Size): Windows 64 KB, Linux 14600, macOS 65535
• TCP seçenek sırası: farklı işletim sistemleri MSS / SACK / Timestamp seçeneklerini farklı sırayla gönderir
• MTU: normal ev interneti 1500, PPPoE 1492, VPN tünelleri genellikle 1380-1450

p0f aracı (pasif işletim sistemi parmak izi tespiti) tam olarak bu alanlardan yararlanır ve hiçbir yoklama paketi göndermeden karşı uçtaki eşin işletim sistemini belirler. Siteler bu bilgileri toplayıp beyan ettiğiniz UA ile karşılaştırabilir — UA'nız Mac Safari diyor ama TTL 128 ve Initial Window Windows değerleriyle eşleşiyorsa, aslında Mac UA'sı taklit eden bir Windows kullanıyorsunuz demektir.

MTU da “VPN kullandığınızı” sızdırabilir — VPN tünellerinin MTU'su genellikle 1500'ün altında olduğundan trafik, doğrudan ev internetinden belirgin biçimde farklıdır.

Savunma:

• TUN modunda bir VPN kullanın: VPN sunucusunun kendi ağ yığını devralır; böylece sitelerin gördüğü TCP/IP parmak izi istemcinize değil, VPN sunucusuna ait olur
• OpenVPN / WireGuard varsayılan olarak TUN modunu kullanır; HTTP/SOCKS proxy'leri kullanmaz — temel fark budur
• Sırf “VPN'e daha az benzemek” için tünel MTU'sunu zorla 1500'e çıkarmayın — tünel kapsüllemesi tek başına onlarca bayt tüketir; sınırı aşmak parçalanmaya, hatta PMTUD kara deliğine yol açar (büyük paketler takılır, sayfalar yarım yüklenir). İstemcinizin varsayılan değerini koruyun (WireGuard 1420, OpenVPN otomatik)

⑥ Davranış analizi — trafik zamanlaması + girdi alışkanlıkları

Bu, savunması en zor boyuttur, çünkü hiçbir teknik parmak izine dayanmaz, tamamen makine öğrenmesine dayanır:

• Erişim saatlerinin dağılımı: günlük çevrimiçi saatleriniz birden çok hesapta tutarlıysa bu hesaplar aynı kişiye aittir
• Fare hareketi / kaydırma hızı / tuşlama ritmi: herkese özgüdür; bankalar / dolandırıcılık önleme sistemleri tarafından toplanır
• Oturum süresi / gezinme kalıpları: tarama alışkanlıklarınız size özgüdür
• Metin girişi özellikleri: yazım hatası oranınız, kelime tercihleriniz ve dilbilginiz

Savunma:

• Hesaplar arasında kullanım saatlerini kesin biçimde ayırın — A ve B hesaplarına aynı anda giriş yapmayın; aralarında birkaç saat bırakın
• Gerçekten anonimlik gerektiğinde cihaz değiştirin (dizüstü bilgisayardan telefona / tablete)
• Buna karşı tam savunma imkânsızdır, ama ilişkilendirmeyi önemli ölçüde zorlaştırabilirsiniz

⑦ VPN sağlayıcı kayıtları + yargı yetkisi

Bu, VPN'in ilk günahıdır. VPN sağlayıcısının kayıt tutmadığına güvenirsiniz, ama gerçekte:

• Ticari VPN sağlayıcıları satın alınabilir (Avast, NortonLifeLock tarafından satın alındı → gizlilik politikası değişti)
• Sağlayıcı gizlice kayıt tutabilir (2017'de PureVPN, daha önce “no-log” olduğunu iddia etmesine rağmen kullanıcı kayıtlarını FBI'a verdi)
• Mahkeme celpleri iş birliğini zorunlu kılabilir — ABD / Birleşik Krallık / Kanada / Avustralya / Yeni Zelanda (Five Eyes) sınır ötesi soruşturmaları kabul eder
• Nine Eyes = Five Eyes + Danimarka / Fransa / Hollanda / Norveç
• Fourteen Eyes = Nine Eyes + Almanya / Belçika / İtalya / İspanya / İsveç

Seçim ölçütleri:

Kendi kurduğunuz VPN daha fazla kontrol sağlar — ancak VPS sağlayıcıları (Vultr / Hetzner / DigitalOcean) kendi kayıtlarını tutar ve soruşturmalarla iş birliği yapabilir. Gerçek anonimlik için VPS'i nakit / kripto parayla satın alıp sahte kimlikle kaydolmak gerekir, bu da ciddi bir mühendislik çabası ister.

⑧ Hesaplar arası ilişkilendirme — aynı çerezleri / parmak izlerini paylaşan birden çok hesap

A hesabına giriş yaptıktan sonra tarayıcı çerezleri / localStorage'ı / önbelleği saklar. Aynı tarayıcıda B hesabına geçerseniz site aynı kişi olduğunuzu hemen anlar.

• Aynı parmak izi + kısa bir zaman aralığında birden çok hesaba giriş = hesaplar arası ilişkilendirme
• Siteler arası çerez takibi (modern tarayıcılar bunu kısıtlamaya başlasa da)
• Etkinlikleri siteler arasında ilişkilendiren üçüncü taraf izleme betikleri (Google Analytics / Facebook Pixel)

Savunma:

• Firefox'un Multi-Account Containers eklentisi: her hesap yalıtılmış çerez / depolama alanı kullanır
• Chrome'da çoklu profil kurulumu (sağ üstteki profil simgesi → kullanıcı ekle)
• Uç önlem: farklı hesapları ayrı sanal makinelerde, her VM'de farklı bir VPN çıkışı kullanarak çalıştırın

Savunma stratejisi özet tablosu

Pratik öneri: Gerçekte ne kadar anonim olmanız gerekiyor?

Savunmanın ne kadar derin olması gerektiğine karar vermeden önce sizi gerçekte kimin izlediğini belirleyin:

• Reklamcılar + veri simsarları (düşük yoğunluk): uBlock Origin + üçüncü taraf çerezlerini reddetmek + sıradan bir VPN, günlük senaryoların büyük çoğunluğu için yeterlidir
• Dolandırıcılık karşıtı risk kontrolü (orta yoğunluk): yukarıdakiler + tutarlı VPN DNS'i + eşleşen saat dilimi/dil + yalıtılmış tarayıcı profilleri
• Ticari rakipler / veri kazıma botları (orta-yüksek yoğunluk): yukarıdakiler + TUN modu + gerçek bir tarayıcı (Selenium izi olmadan) + kalan çerezlerin temizlenmesi
• Kamu otoriteleri / sınır ötesi soruşturmalar (aşırı yüksek yoğunluk): yukarıdakilerin tümü yalnızca başlangıç düzeyidir. Tor / Whonix / Tails / nakitle alınmış bir VPS + XMR + tamamen yalıtılmış cihazlar gerekir

Çoğu kişinin ihtiyaç duyduğu yalnızca 1-2. seviyelerdir; 3. seviye ve üzeri uzmanlık alanıdır. Gerçekte ihtiyaç duymadığınız bir anonimlik için günlük kullanımınızı zorlaştırmayın.