Frage:
VPN + HTTPS = 100% anonym?
uihiuh
2018-01-05 02:16:22 UTC
view on stackexchange narkive permalink

Angenommen, ich besuche Twitter mit HTTPS und einem VPN.

Zunächst weiß ich, dass HTTPS durchgängig verschlüsselt ist, sodass niemand außer Twitter wissen kann, welche Daten gesendet wird, nicht einmal der VPN-Anbieter. Zweitens weiß ich, dass bei Verwendung eines VPN niemand außer dem VPN-Anbieter wissen kann, wer der Benutzer ist.

Twitter kennt also den nicht Benutzer und der VPN-Anbieter kennt die Daten nicht. Ist das wahr? Bin ich zu 100% anonym?

Twitter könnte eine Beschwerde gegen Ihren VPN ausfüllen und abhängig davon an Sie weiterleiten.Es ist also nicht anonym.Daher protokolliert die vpns 0.
@Xavier59 Wie kann das VPN mich kennen und alle Daten werden verschlüsselt?
Nichts ist 100% anonym, selbst ein eigenständiger Computer.
HTTPS ist Transportverschlüsselung, nicht E2E.Der Inhalt kann Man-in-the-Middle sein, wobei der Lauscher, als wäre er E2E, nur verschlüsselte Daten sehen würde.
Diese Diskussion ist unvollständig, ohne Tor zu erwähnen.Sie sollten in Tor schauen, wenn Sie bereits haben
https ist NICHT dasselbe wie "Ende zu Ende verschlüsselt", es sei denn, Sie besitzen beide Enden der Pipe (dh von Ihrem Laptop zu Ihrem TLS-Server im Haus).Bei Twitter befindet sich ein Ende in IHREM Computer und das andere Ende in einem Rechenzentrum.Bei Cloud-Diensten wie AWS sieht die Cloud, wie der Klartext in das Ende der Pipe ein- und ausgeht (dh: os.Read, os.Write).und Sie gehen davon aus, dass sie das Privileg nicht missbrauchen.Aber sie müssen auf Anfragen der Strafverfolgungsbehörden reagieren, um einen Blick darauf zu werfen ... damit sie dieses Geschäft nicht aufhalten können.Ihre IP wird auch am Ende des VPN angezeigt.verschleiere das mit Tor.
HTTPS / TLS ist keine Endbenutzer-zu-Endbenutzer-Verschlüsselung (worum es bei End-to-End normalerweise geht), sondern eine End-to-End-Verschlüsselung zwischen Ihrem Browser und dem HTTP-Server.Inhalte können in der Twitter-Serverinfrastruktur oder auf Ihrem eigenen Computer abgehört werden, sie können jedoch (sofern sie ordnungsgemäß implementiert sind) nicht vom ISP oder vom VPN-Anbieter abgehört werden.
... aber da die Quell- / Ziel-IP / Domain, der Zeitstempel und die Anforderungsgröße (offensichtlich) für alle Beteiligten sichtbar bleiben, bietet HTTPS / TLS nicht viel für Anonymität.
Sprechen Sie in infosec niemals absolut ...
Ich finde das immer nützlich, obwohl es nur um Tor und HTTPS geht: https://www.eff.org/pages/tor-and-https
Hast du dich bei Twitter angemeldet?Dann kennen sie den Benutzer.
Sieben antworten:
Hector
2018-01-05 03:33:39 UTC
view on stackexchange narkive permalink

Twitter kennt den Benutzer nicht

Wenn Sie diesen Browser jemals verwendet haben, um eine Verbindung zu Twitter außerhalb des VPN herzustellen, hat Twitter möglicherweise Cookies verwendet oder ( auch im Falle eines vollständigen Löschens der Browserdaten) Fingerabdruck des Browsers, um Sie zu identifizieren. Selbst wenn dies nicht der Fall ist, sollten Sie davon ausgehen, dass dies bei den Anzeigenanbietern der Fall ist.

Niemand kann wissen, wer der Nutzer ist, außer dem VPN-Anbieter.

Jeder Mit der Sichtbarkeit von Eingangsknoten und Ausgangsknoten für das VPN (ISPs, staatliche Akteure usw.) können Paketanpassungstechniken angewendet werden, um Verkehrsströme zu identifizieren.

Sie haben auch das Risiko, dass sowohl Twitter als auch das VPN das teilen Informationen, die sie mit anderen Parteien über Sie haben.

@DavidGrinberg - Ich habe den Browser-Fingerabdruck ausdrücklich erwähnt.Ich würde andere clientseitige Speichertechniken in Cookies umwandeln - es ist nur ein einzigartiges Datenelement, das der Client speichert, um eine Sitzung zu identifizieren.
Browser-Fingerabdruck?[Obligatorischer Panopticlick-Link] (https://panopticlick.eff.org/).
Twitter benötigt ein Login für jede Art von Interaktion. Sobald es angemeldet ist, kennt es den Benutzer.Möglicherweise ist der Betreiber des Benutzerkontos oder das Gerät, mit dem auf das Konto zugegriffen wird, nicht bekannt.Es gibt eine Reihe von Ebenen, die Sie bereitstellen können, um diese Anonymität sicherzustellen (erzwungenes HTTPS, VPN, Tor, Sandbox-Browser, generische VM, neu erstelltes System mit Luftspalt), aber jede erhöht die Komplexität und verlangsamt und verschlechtert die Benutzererfahrung.
DKNUCKLES
2018-01-05 03:28:21 UTC
view on stackexchange narkive permalink

Wie Steffen betont, sind Sie möglicherweise anonymer als ohne VPN, jedoch weit davon entfernt, zu 100% anonym zu sein.

  • Ihr Webbrowser selbst kann eine enorme Menge an Informationen über Ihren Computer, Ihren Browser und andere Dienste anzeigen, mit denen Sie möglicherweise verbunden sind. JavaScript wurde verwendet, um Personen auf Tor zu de-anonymisieren.
  • Dinge, die Sie posten, und Interaktionen, die Sie in sozialen Medien haben, können möglicherweise mit Ihnen korreliert werden, insbesondere wenn Ihre OpSec schwach ist.
  • Ein DNS-Leck könnte Sie entlarven
  • Wenn Ihr VPN-Anbieter Verbindungsprotokolle führt und in einem Land arbeitet, in dem er diese Informationen weitergeben muss (oder wenn er sie absichtlich einhält) mit LEAs) könnten Sie abgespritzt werden.
  • Wenn Sie ausrutschen und auf dem Radar einer Strafverfolgungsbehörde landen, können diese nachsehen, ob Sie Zahlungen an Ihren VPN-Anbieter erhalten haben, und Ihren ISP damit beauftragen, den Datenverkehr von zu korrelieren Der ISP zum VPN, als Beiträge auf Twitter usw. verfasst wurden.

Ich weiß nicht, ob Sie jemals im Internet zu 100% anonym sein können, aber wenn Sie können, erfordert es mehr als HTTPS und eine VPN-Verbindung.

Zumindest möchten Sie einen Computer verwenden, der nur für diese anonyme Identität nur über VPNs verwendet wird, denen Sie vertrauen, dass sie keine Protokolle führen, sowie mit Eingangs- und Ausgangsknoten, die wahrscheinlich nicht von denselben Entitäten angezeigt werden können.
Vielleicht sollte der Wortlaut des ersten Satzes lauten, dass Sie eher anonym bleiben, da Sie entweder anonym sind oder nicht.Sobald Ihre Identität den Weg zu einer nicht vertrauenswürdigen Partei gefunden hat, müssen Sie davon ausgehen, dass sie für alle zugänglich ist, da Sie nicht wissen können, mit wem diese nicht vertrauenswürdige Partei teilt (sogar Twitter, möglicherweise insbesondere ein Unternehmen wie Twitter, das viele Marketingdienste von Drittanbietern nutzt).
Korrelationen: 1) Je größer eine (bekannte) Datei ist, desto wahrscheinlicher ist es, dass eine (nur Chiffretext-) Größenübereinstimmung eine Dateiübereinstimmung anzeigt ... dh: Wie viele 1 GB + 357-Byte-Dateien gibt es?.2) Timing ... Wenn Sie sich einen Twitter-Account ansehen möchten, können Sie sich das Timing der Verbindungen ansehen. Das heißt, jedem Tweet geht eine TLS-Verbindung 2s vor einer konsistenten IP-Adresse voraus.
Sie können im Internet 100% anonym sein.Ich habe vor einigen Jahren in einem britischen Geschäft eine mobile Wi-Fi + SIM-Karte gekauft.Bargeld bezahlt.Die einzige Möglichkeit, wie die Strafverfolgung erkennen kann, dass ich es bin, ist das Filmmaterial, als ich es gekauft habe.Ich versuche nicht anonym zu sein, aber ich kenne einen Weg, durch den ich könnte.
@gerrit wieder, da Sie immer denselben Computer verwenden, sind Sie überhaupt nicht anonym.Es geht nicht nur um den Internetzugang.
@HerrDerb Richtig.Natürlich würde ich auch einen dedizierten Laptop kaufen, wieder Bargeld, und immer nur Laptop + Mobile Wi-Fi zusammen verwenden und niemals ein Konto verwenden, das ich auch anderswo benutze.Ich würde es nur verwenden, wenn ich mich an überfüllten öffentlichen Orten befinde, sodass die Strafverfolgung nicht zu dem Schluss kommen kann, dass ich in einer bestimmten Nachbarschaft lebe.Sie könnten wahrscheinlich immer noch auf mich zukommen und mich verhaften, während ich mit diesem Gerät auf frischer Tat in einem Café sitze (nehme ich an), aber ich sehe nicht, wie sie meine Identität vor der Verhaftung kennen würden.
@HerrDerb Und wenn ich auf einen Vorrat an vertraulichen Informationen stoßen würde, die ich mit der Welt teilen musste, würde ich dies wahrscheinlich einmalig tun und dann sowohl Laptop als auch mobiles WLAN-Gerät entsorgen, nachdem sie ihren Zweck erfüllt hatten.
Steffen Ullrich
2018-01-05 02:39:08 UTC
view on stackexchange narkive permalink

Die Verwendung eines VPN bedeutet nur, dass Twitter anhand der IP-Adresse keine Details zum Benutzer ermitteln kann. Es kann jedoch auch andere Möglichkeiten geben, um genügend Details über den Benutzer zu erhalten, z. B. durch domänenübergreifende Benutzerverfolgung (mithilfe von Cookies von Drittanbietern und anderen Techniken), die viele Websites verwenden.

Abgesehen davon kann Twitter dies bestimmen dass die IP-Adresse zu einem bestimmten VPN gehört. Und wenn Sie bei der Interaktion mit Twitter gegen Gesetze verstoßen haben, verwenden diese möglicherweise das Gesetz, um vom VPN detaillierte Informationen über Sie zu verlangen. Wenn der VPN-Anbieter protokolliert, welchem ​​Benutzer zu welchem ​​Zeitpunkt welche IP-Adresse zugewiesen wurde, werden diese Informationen wahrscheinlich auch den Strafverfolgungsbehörden zur Verfügung gestellt.

Um anonym zu bleiben, müssen Sie im Allgemeinen die Quelladresse, das Timing und die Nachrichtengrößen "waschen".Dinge wie ein Client-Zertifikat können unerwünschte Korrelationen zwischen Verbindungen liefern.
zakinster
2018-01-05 17:11:21 UTC
view on stackexchange narkive permalink

Bei HTTPS geht es um Vertraulichkeit und Integrität von Inhalten, nicht um Anonymität von Parteien . Es bietet möglicherweise eine End-to-End-Verschlüsselung zwischen Ihrem Browser und dem Server, verbirgt jedoch nicht die Quell- und Ziel-IP-Adresse, Zeitstempel und Anforderungsgrößen. Es bietet keine Anonymität in Bezug auf die Netzwerkinfrastruktur.

Das VPN verbirgt jedoch Ihre persönliche IP-Adresse (von Ihrem ISP zugewiesen) vor Twitter, aber wenn Ihr VPN-Anbieter Protokolle führt und alle miteinander sprechen (oder Wenn sie dazu gebracht werden, miteinander zu sprechen, können sie einfach den Spuren Ihrer persönlichen IP folgen, die von Ihrem ISP verwendet werden kann, um Sie zu identifizieren. Sie benötigen möglicherweise nicht einmal Ihre ISP-Kooperation, wenn Ihr VPN-Anbieter Sie identifizieren kann (durch Kundenregistrierung oder Zahlungsinformationen).

Es gibt andere Netzwerklösungen (wie Tor ), deren Zweck darin besteht, die Netzwerkverfolgung erheblich zu erschweren oder Bei korrekter Verwendung praktisch unmöglich.

Beachten Sie auch, dass Ihre IP-Adresse nicht das einzige ist, mit dem Sie identifiziert werden können. Ihr Browser kann auch einige nützliche Informationen verlieren (Cookies natürlich, aber auch mehr -oder weniger eindeutiger Fingerabdruck).

Um diese Risiken zu minimieren, sollten Sie einen sicheren Browser im Inkognito-Modus (um Cookies und dergleichen zu vermeiden) verwenden und nur für diesen Zweck verwenden (um Fingerabdruck-Cross-Matching zu vermeiden).

*: Alle Daten von Diensteanbietern können je nach Gerichtsbarkeit an Strafverfolgungsbehörden weitergegeben oder möglicherweise von einer einfallsreichen Organisation von abgerufen werden der eine oder andere Mittelwert. sub>

Reactgular
2018-01-07 22:39:50 UTC
view on stackexchange narkive permalink

Ich weiß, dass HTTPS durchgängig verschlüsselt ist, sodass niemand außer Twitter wissen kann, welche Daten gesendet werden, nicht einmal der VPN-Anbieter.

Ja, wenn alles mit SSL korrekt funktioniert, aber das VPN ist per Definition ein Mann in der Mitte.

https: // stackoverflow.com/questions/14907581/ssl-and-man-in-the-middle-misunderstanding

Ich würde lieber meinen ISP als einen VPN-Anbieter aus China, Indien oder Russland verwenden. Der mittlere Buchstabe P steht für privat und das ist sehr subjektiv.

Zweitens weiß ich, dass niemand es kann, wenn ich ein VPN verwende Sie wissen, wer der Benutzer ist, mit Ausnahme des VPN-Anbieters.

Sie kennen das VPN und die IP-Adresse wird mit anderen Benutzern geteilt. Du bist also nicht anonym. Sie haben diese IP-Adresse wahrscheinlich schon oft gesehen.

Ich möchte damit sagen, dass sie bei der Überwachung von VPN-IP-Adressen im Vergleich zu anderen IPs möglicherweise mehr Server-CPU-Zeit zuweisen. Es heißt, durch Vereinigung schuldig zu sein. Sie haben Ihre Verbindung zu ihren Servern markiert.

VPNs lassen Sie wie die Frau im roten Kleid aus den Matrix-Filmen aussehen. Sie stechen in einer Menge vielbeschäftigter Benutzer hervor.

Twitter kennt den Benutzer also nicht und der VPN-Anbieter kennt die Daten nicht. Ist das wahr? Bin ich zu 100% anonym?

Warum sollte Twitter auf den Netzwerkverkehr angewiesen sein, um einen Benutzer zu identifizieren?

Ihr Verhalten allein kann ausreichen, um Sie zu identifizieren, wenn Sie Führen Sie einen der folgenden Schritte aus:

  • Verwenden Sie ein VPN, um Ihre eigenen Tweets zu mögen.
  • Verwenden Sie ein VPN, um Links zu Ihren eigenen Websites zu veröffentlichen.
  • Verwenden Sie ein VPN, um Ihrem eigenen Konto zu folgen.
  • Verwenden Sie ein VPN, um Konten für Personen anzuzeigen, die Sie im realen Leben kennen.
  • Verwenden Sie ein VPN, um Personen anzugreifen, die Sie im realen Leben kennen .
  • Jemand kann Sie anhand Ihrer Aktivität identifizieren.

Wenn Twitter einen Benutzer in die reale Welt zurückverfolgen möchte, kann er eine der folgenden Aktionen ausführen Folgendes:

  • Twitter kann einen Netzwerkfehler bei eindeutigen URLs vortäuschen, um festzustellen, ob Sie ohne VPN zurückkehren.
  • Twitter kann Sie profilieren, indem es Sie mit gefälschten Tweets anlockt.
  • Twitter kann positionieren Sie verfolgen den Standort der Tweets, mit denen Sie interagieren.
  • Twitter bittet andere Benutzer, Sie zu identifizieren.
  • Twitter bittet das VPN, Sie zu identifizieren.
  • Twitter fragt Facebook oder Google, um Sie zu identifizieren.
  • Twitter kann den gesamten VPN-Verkehr auf dedizierte Server umleiten, die über zusätzliche Ressourcen zum Verfolgen von Benutzern mit hohem Risiko verfügen.

Ich habe keine Beweis sie tun eines der oben genannten, aber ich denke auch, dass es durchaus vernünftig ist zu glauben, dass sie es tun würden. Angesichts der Geschichte der Idioten, die Twitter nutzen, um dumme oder noch schlimmere Dinge zu tun.

ag415
2018-01-06 02:13:52 UTC
view on stackexchange narkive permalink

In diesem Universum gibt es keine 100% ige Anonymität. Selbst mit perfektem OpSec sind Sie immer noch anfällig.

HTTPS wird als ziemlich sicher angesehen, aber das macht es nicht völlig unempfindlich gegen Abhören. Kryptografische Schwachstellen können möglicherweise immer noch in TLS vorhanden sein, sodass diese möglicherweise beschädigt werden (was immer wahrscheinlicher wird, wenn sich die Hardware weiterentwickelt und schneller arbeitet und Angreifern mehr und mehr Rechenleistung für Angriffe zur Verfügung steht).

Wie zakinster betonte, bietet HTTPS keine Anonymität, sondern nur Vertraulichkeit. HTTPS maskiert weder den Ursprungshost einer Anforderung noch den Host, an den die Anforderung gesendet wird. Es maskiert nur den Inhalt der Anforderung.

Ein VPN kann einen gewissen Grad an Anonymität bieten, aber das VPN selbst weiß immer noch, wer mit ihm verbunden ist, und es ist immer noch möglich, dass jemand Ihre Identität vom VPN erhält (z. B. Social Engineering / Hacken des VPN-Anbieters, Vorladung von Strafverfolgungsbehörden für Informationen usw.)

Wie Hector betonte, können ISPs Ihren Netzwerkverkehr zum / vom VPN sehen und möglicherweise herausfinden war Sie basierend auf Verkehrsanalyse. Es könnte so einfach sein, die Zeitstempel von Paketen zu überprüfen und sie mit dem Zeitpunkt zu korrelieren, zu dem der Remote-Host (Twitter) sie empfangen hat.

Es gibt keine 100% anonymen Daten. Eine entschlossene Person mit den richtigen Ressourcen kann Sie schließlich finden, unabhängig davon, welche Maßnahmen Sie ergreifen.

Ich werde noch weiter gehen als ag415, selbst mit mehr datenschutzorientierten vpnish-Protokollen wie [Tor] (https://www.torproject.org/) sind Sie nicht 100% anonym.Eines der größten Probleme ist [Timing-Analyse] (https://blog.torproject.org/one-cell-enough-break-tors-anonymity "). Dies bedeutet, wenn ein Gegner eines Nationalstaates herausfinden möchte, wer Sie sind.Sie werden es wissen. Diese Analyse kann besiegt werden (konstante Bitrate, konstantes Timing, konstante Paketgröße zwischen Parteien), aber solche sind für die Metaanalyse gut sichtbar und erfordern daher eine große aktive Benutzerbasis für eine plausible Verleugnung.
John Doe
2018-01-08 05:09:11 UTC
view on stackexchange narkive permalink

Nein, Sie sind mit einem VPN niemals 100% anonym. Am 7. August 2017 wurde vom US-amerikanischen Zentrum für Demokratie und Technologie (CDT) eine Beschwerde eingereicht, in der Hotspot Shield für die Anwendung von Protokollierungspraktiken und die Verwendung von Tracking-Bibliotheken von Drittanbietern verantwortlich gemacht wurde, damit personalisiertere Werbung implementiert werden kann. Die Beschwerde wurde bei der Federal Trade Commission (FTC) eingereicht und bestand aus zwölf Seiten.

Also ... dass ein VPN-Dienst die Privatsphäre verletzt hat - ich bin nicht sicher, ob Sie daraus schließen können, dass VPN als Technologie das gleiche Problem hat.


Diese Fragen und Antworten wurden automatisch aus der englischen Sprache übersetzt.Der ursprüngliche Inhalt ist auf stackexchange verfügbar. Wir danken ihm für die cc by-sa 3.0-Lizenz, unter der er vertrieben wird.
Lesen Sie weiter auf narkive:
Loading...