Como os Sites Detectam Sua VPN (e Como Testar a Sua)

Sua VPN diz que você está em Frankfurt. O site que você acabou de abrir não se convenceu, e ele nem precisou adivinhar. Em algum ponto entre o seu endereço IP novo e o seu navegador velho existe uma contradição, e encontrar contradições é exatamente o trabalho de um sistema de detecção. O painel nesta página roda as mesmas comparações contra o seu navegador agora mesmo.

A confusão começa no que uma VPN realmente faz. Ela criptografa o seu tráfego e o entrega à internet a partir de outro endereço. Só isso. Ela não muda o relógio do seu sistema operacional, os idiomas que o seu navegador pede, o formato dos seus pacotes TCP, nem o fato de que o endereço novo pertence a uma empresa que aluga servidores. Um site que quer saber lê tudo isso, e essas coisas concordam entre si, não com o IP.

Versão resumida: uma VPN substitui um único sinal, o seu endereço IP, e deixa todos os outros no lugar. Sites a detectam pelo que o IP novo é (uma faixa de hospedagem, presente em lista de reputação, pertencente a uma empresa de datacenter) e pelo que o navegador continua dizendo (um fuso horário e um idioma de casa, um endereço WebRTC que passa por fora do túnel). Modos "ofuscados" escondem o túnel do seu provedor, não a saída do site.

Seu IP novo vem com uma etiqueta colada

Todo endereço IP público pertence a um sistema autônomo, um bloco de endereços registrado em nome de uma organização, e esse registro é público. Sua conexão doméstica sai de uma faixa da Comcast, da Vodafone ou da Ziggo. Uma saída de VPN sai de uma faixa da M247, da DataCamp, da Leaseweb ou de quem quer que alugue racks ao provedor de VPN, e a mesma consulta que conta a um site o seu país conta isso também, na mesma resposta, como org ou asn. O scan da página inicial mostra essa linha; é a linha “Operadora da rede” no painel acima.

Não há nada de genial nessa consulta. Provedores residenciais distribuem endereços para pessoas; empresas de hospedagem os distribuem para máquinas. Um endereço do segundo grupo navegando numa loja, entrando num banco ou maratonando uma série já parece estranho antes de qualquer outra verificação, e os engines de fraude dão a isso o peso correspondente. É o mesmo sinal que descrevemos em por que você vive recebendo CAPTCHAs, porque é o mesmo engine perguntando.

As listas de reputação já conhecem as faixas de VPN

Acima do ASN existe uma segunda camada: bancos de dados comerciais de reputação de IP. IPQualityScore, a detecção de privacidade do ipinfo, IP2Proxy, Spur e uma dúzia de outros classificam cada faixa como residencial, empresarial, hospedagem, proxy, VPN ou Tor, e essas listas não são difíceis de montar. Provedores de VPN publicam as listas dos próprios servidores para que seus aplicativos consigam se conectar. As faixas de hospedagem estão nos registros. Denúncias de abuso e a pura densidade fazem o resto: um endereço residencial tem um punhado de pessoas atrás dele, uma saída de VPN popular tem centenas ao mesmo tempo, espalhadas por todos os fusos horários, e esse padrão é visível só pelo tráfego. A linha “Lista de reputação do IP” no painel pergunta a um desses bancos de dados sobre o seu endereço.

É por isso que os grandes serviços de streaming são tão bons nisso. Eles não detectam o seu aplicativo de VPN; eles mantêm uma lista de endereços que se comportam como saídas de VPN e recusam esses endereços. É também por isso que uma VPN que funciona hoje para de funcionar no mês que vem: a faixa entrou na lista.

O que um site lê e o que a VPN muda

Sinal Lido de Com a VPN ligada

Seu endereço IP a conexão substituído
Quem é o dono da faixa de IP a conexão agora diz "servidor"
Listas de reputação a conexão agora diz "servidor"
Fingerprint TCP (MTU, TTL) a conexão agora diz "servidor"
Qual resolvedor DNS você usa a conexão não muda, ainda diz "casa"
Fuso horário o navegador não muda, ainda diz "casa"
Idiomas do navegador o navegador não muda, ainda diz "casa"
Endereço WebRTC o navegador não muda, ainda diz "casa"
Fingerprint do navegador o navegador não muda, ainda diz "casa"

A VPN troca a primeira linha. As três seguintes pioram, porque um endereço alugado num datacenter carrega a própria etiqueta. As demais não saem do lugar, e a contradição entre elas e o IP novo é o que o site lê.

O navegador continua contando a verdade

Tudo até aqui era sobre o endereço. O resto é sobre o navegador, e essa é a parte que a maioria dos guias de VPN pula, porque nenhuma VPN a conserta.

Fuso horário. O relógio do seu sistema operacional diz Europe/Amsterdam, e o JavaScript o lê com uma única chamada, sem nenhum pedido de permissão. Um IP alemão com um relógio holandês é uma contradição que um site verifica em um milissegundo, e escrevemos um post inteiro sobre por que a VPN não conserta o fuso horário.

Idiomas. Toda requisição que o seu navegador faz carrega um cabeçalho Accept-Language, e o navigator.languages diz a mesma coisa aos scripts. Uma VPN não toca em nenhum dos dois. nl-NL vindo de um endereço alemão é a mesma contradição em outra coluna; o artigo sobre o vazamento de idioma cobre o assunto, incluindo o caso em que ele é só um sinal fraco, como um navegador só em inglês no exterior.

WebRTC. Navegadores podem perguntar a um servidor STUN “qual é o meu endereço público?” para montar uma chamada, e algumas configurações de VPN deixam essa pergunta passar por fora do túnel. A resposta é o seu endereço real, bem ao lado do seu endereço de VPN na mesma página. Esse é o vazamento de WebRTC, e o painel acima roda a verificação.

Geolocalização e IPv6. Se você algum dia concedeu acesso à localização a um site, a posição do navegador vem do GPS ou das redes Wi-Fi próximas e não se move com a VPN. E uma VPN que só tunela IPv4 deixa o seu endereço IPv6, emitido pelo seu provedor de casa, disponível para qualquer site com um endpoint IPv6.

Localização do IP: Frankfurt, DE
Dono da rede: M247 Europe (hosting)
Fuso horário do navegador: Europe/Amsterdam
Idiomas do navegador: nl-NL, en

3 contradições

O IP se mudou para a Alemanha. A rede agora pertence a uma empresa de hospedagem, e o relógio e os idiomas ainda dizem Holanda. Um site não precisa saber o que é uma VPN para perceber.

A VPN mudou exatamente um campo. A detecção é a comparação entre esse campo e os três que não se moveram.

Nada disso exige saber o que é uma VPN. Um detector não pensa “VPN”; ele pensa “os sinais deste visitante discordam entre si”, e discordância é o que entra na pontuação.

Os sinais que nenhuma página consegue ler

Mais duas verificações acontecem abaixo do navegador, e elas importam porque são o jeito de um navegador limpo numa saída residencial ainda ser pego.

O fingerprint TCP. Um túnel de VPN embrulha os seus pacotes dentro dos dele, então os pacotes que chegam ao site são um pouco menores que os de uma conexão normal (o tamanho máximo de segmento encolhe pelo overhead do túnel) e o time-to-live deles gastou um salto extra. Ferramentas de fingerprinting passivo da família do p0f leem esses campos direto da placa de rede do servidor antes de a sua primeira requisição ser respondida, e “MSS 1360 vindo de um endereço que afirma ser um roteador doméstico” é um formato conhecido.

DNS. Quando o seu navegador resolve um hostname, algum resolvedor em algum lugar envia essa consulta ao servidor DNS do site. Se esse resolvedor pertence ao seu provedor de casa enquanto o seu tráfego web chega de uma saída de VPN em outro país, o site tem de novo dois endereços para você. Testes de vazamento fazem o seu navegador resolver um hostname único e observam qual resolvedor aparece; é assim que a opção de “proteção contra vazamento de DNS” de um aplicativo de VPN é testada.

Por que o modo ofuscado não ajuda aqui

Aplicativos de VPN vendem servidores “stealth” ou “ofuscados”, e eles resolvem um problema real: fazer o tráfego de VPN passar por uma rede que o bloqueia, disfarçando o túnel de HTTPS comum para o firewall no meio do caminho. Essa é uma briga com o seu provedor ou com a rede do seu escritório. O site na outra ponta nunca vê o túnel. Ele vê o endereço de saída e o seu navegador, ambos exatamente tão legíveis quanto antes. Ofuscação e detecção são dois problemas diferentes, e o marketing os mistura.

O que realmente fazer

Rode o teste, depois conserte o que ele marcar. O painel no topo desta página é uma boa aproximação do que um site vê; o scan completo do navegador acrescenta em volta dele as verificações de fingerprint e de vazamento. Um indício que você mesmo encontra é um indício que você consegue consertar.
Faça o navegador concordar com o endereço. Alinhe o fuso horário e o idioma ao país da saída, ou escolha uma saída no seu próprio país se o objetivo é privacidade, não geografia. Desligue o WebRTC ou deixe o aplicativo de VPN cuidar dele. Uma história consistente vinda de um IP de datacenter pontua melhor que uma contraditória.
Se você precisa parecer uma pessoa, use o endereço de uma pessoa. Faixas de datacenter entram nas listas e ficam nelas; IPs dedicados ou residenciais são o único jeito de sair dessa lista. Se isso vale a pena depende do que você está fazendo.
Se você opera várias identidades, separe-as completamente. Cada perfil precisa do próprio endereço de saída e de um navegador cujo relógio, idiomas e fingerprint combinem com esse endereço, ou as contradições acima reaparecem conta por conta. É para isso que existem os navegadores anti-detecção. O Incogniton amarra um proxy a cada perfil e define o fuso horário e o idioma para combinar com ele, para que o navegador e o endereço contem uma história só em vez de duas.

Uma VPN continua sendo a ferramenta certa para aquilo para que foi criada: criptografar o seu tráfego em redes nas quais você não confia e mudar o seu endereço. O endereço IP, no caso: o seu endereço MAC nunca foi visível para os sites, para começo de conversa. Ela nunca foi feita para fazer um navegador mentir de forma convincente, e a maior parte da detecção acima é só o navegador contando a verdade.

Execute o scan completo do navegador