Mullvad: смена сервера не всегда разрывает сессии
Mullvad описала узкую, но реальную проблему приватности в назначении exit IP на разных VPN-серверах. Главное: это не раскрывает личность пользователя. Сайт не начинает видеть домашний IP-адрес, номер аккаунта Mullvad, способ оплаты или имя.
Но проблема бьёт по другому ожиданию, на которое часто рассчитывают пользователи VPN: что переход с одного VPN-сервера на другой создаёт чистый разрыв между сессиями.
По данным Mullvad, при определённых условиях сайт или онлайн-сервис может с высокой уверенностью предположить, что тот же пользователь VPN, который пришёл с одного сервера Mullvad, позже появился с другого. Сигнал возникает из относительной позиции назначенных exit IP в диапазонах серверов. Звучит технически — так и есть. Но практический смысл простой: смена сервера не всегда сбрасывает связуемость.
Mullvad говорит, что тестирует новый метод назначения exit IP и планирует развернуть его на VPN-серверах в ближайшие недели. До этого пользователям, которые меняют серверы ради несвязываемости сессий, стоит учитывать ограничение и применять временную меру снижения риска.
Что раскрыла Mullvad#
Mullvad сообщила, что в пятницу, 15 мая, узнала о проблеме фингерпринтинга, которая затрагивает пользователей при переключении между VPN-серверами.
Проблема связана с назначением exit IP. Когда вы подключаетесь к VPN-серверу, сайты видят ваш трафик как исходящий с IP-адреса, который контролирует VPN-провайдер. Один сервер обычно использует не один exit IP: пользователей распределяют по диапазону выходных адресов.
Mullvad объясняет: при определённых условиях, когда пользователь переходит с одного VPN-сервера на другой, exit IP на новом сервере может раскрывать паттерн, связанный с exit IP на старом сервере. Сайт, наблюдающий оба подключения, может сделать вывод, что за ними стоит один и тот же пользователь VPN.
Такой вывод — не то же самое, что идентификация.
Сайт, заметивший паттерн, не узнаёт автоматически, кто пользователь. Он не получает реальный IP-адрес пользователя. Он не взламывает VPN-шифрование. Он не получает доступ к аккаунтам или содержимому просмотра. Раскрывается более узкая информация: непрерывность между VPN-выходами.
Это важно, потому что приватность VPN часто сводят к одному вопросу: «Скрыт ли мой реальный IP?» Для многих обычных сценариев это главный плюс. Но для пользователей, которые специально меняют VPN-серверы, чтобы разделять сессии, аккаунты, исследовательскую активность, локации или контексты просмотра, сама непрерывность может быть чувствительной.
Если цель смены сервера — сделать следующее подключение несвязанным с предыдущим, описанная проблема может помешать.
Как работает этот фингерпринтинг#
Механизм связан с паттернами назначения адресов, а не с вредоносным ПО, перехватом трафика или утечкой личности.
Пользователи Mullvad подключаются с помощью ключей WireGuard. У каждого устройства есть уникальный ключ WireGuard, который используется для шифрования VPN-соединения. В системе Mullvad также есть внутренний адрес туннеля. Mullvad говорит, что этот внутренний адрес обычно, хотя и не всегда, коррелирует с ключом WireGuard пользователя.
Проблема фингерпринтинга появляется, когда один и тот же внутренний адрес туннеля используется при подключении к разным VPN-серверам.
У каждого VPN-сервера есть диапазон exit IP. Из-за технических ограничений не каждого пользователя можно поместить за один и тот же выходной адрес, поэтому пользователей распределяют по доступному диапазону. Mullvad описывает сценарий, в котором пользователю может назначаться exit IP примерно в одной и той же относительной позиции внутри диапазона каждого сервера — например, около 40% доступного блока exit IP.
Если эта относительная позиция повторяется при смене серверов, внешний наблюдатель может сравнить старый и новый exit IP и заметить паттерн.
Проще говоря: exit IP может нести позиционную подсказку. Если подсказка сохраняется после смены сервера, новый VPN IP может оказаться не таким независимым от старого, как ожидает пользователь.
Это не идеальный идентификатор одного человека. Mullvad отмечает, что на каждый exit IP обычно назначается много пользователей. Значит, несколько пользователей могут иметь один и тот же видимый сигнал, что снижает уверенность. Но для провалов приватности не всегда нужна стопроцентная уверенность. В трекинге и корреляции сигналу достаточно улучшить догадку.
У сайта уже могут быть данные о времени, поведении аккаунта, браузере, языковых настройках, характеристиках экрана, cookies или состоянии входа. Паттерн exit IP может стать ещё одной точкой данных. В некоторых случаях её достаточно, чтобы наблюдатель уверенно связал две сессии.
Поэтому это лучше понимать как сбой несвязываемости, а не как деанонимизацию.
Почему это важно для пользователей VPN#
Большинство пользователей думают о приватности слоями. Первый слой — скрыть реальный сетевой адрес от сайтов и приложений. VPN обычно делает это, заменяя IP домашней сети, работы, школы или мобильного оператора на VPN exit IP.
Но скрыть исходный IP — не то же самое, что стать несвязываемым.
Сайты и онлайн-сервисы могут узнавать пользователей по множеству сигналов, среди них:
- сессии входа;
- постоянные cookies;
- фингерпринтинг браузера;
- характеристики устройства;
- часовой пояс и языковые настройки;
- поведенческие паттерны;
- данные восстановления аккаунта;
- платёжные или подписочные идентификаторы;
- временные и трафиковые паттерны;
- репутация IP и поведение назначения IP.
Проблема Mullvad касается одного конкретного сигнала на стороне VPN: того, как exit IP могут соотноситься между разными серверами.
Для многих пользователей практический эффект может быть небольшим. Если вы остаётесь в том же аккаунте, используете тот же профиль браузера, принимаете те же cookies и сохраняете тот же фингерпринт устройства, смены VPN-сервера никогда не хватало для чистого разрыва приватности. У сайта уже есть более простые и сильные способы связать вашу активность.
Для более строгих моделей угроз проблема заметнее.
Некоторые пользователи переключают VPN-серверы именно для отделения одной активности от другой. Это могут быть журналисты, исследователи, активисты, расследователи, люди, тестирующие инфраструктуру злоупотреблений, люди, уходящие от таргетированного трекинга, или обычные пользователи, которые хотят разделять рабочий, личный и чувствительный просмотр.
Для них вывод прямой: новый VPN-сервер не означает автоматически новый контекст приватности.
Смена видимого IP-адреса — только одна часть несвязываемости. Если логика назначения раскрывает связь между старым и новым выходами, смена сервера может сохранить больше непрерывности, чем ожидалось.
Что Mullvad советует сейчас#
Текущая рекомендация Mullvad узкая. Менять поведение нужно тем пользователям, которые переключают VPN-серверы специально для того, чтобы активность на одном сервере нельзя было связать с активностью на другом.
В таком случае Mullvad рекомендует при смене серверов выйти из приложения Mullvad и войти снова. По словам Mullvad, это заново создаёт ключ WireGuard и меняет внутренний IP-адрес.
Это важно, потому что проблема привязана к внутреннему адресу туннеля и его связи с назначением exit IP. Сброс такого состояния сессии должен уменьшить межсерверную непрерывность, которая позволяет построить фингерпринт.
Практический порядок действий для чувствительных сценариев:
- Завершить активность на первом VPN-сервере.
- Выйти из приложения Mullvad.
- Войти снова, чтобы изменились ключ WireGuard и внутренний IP.
- Подключиться к новому VPN-серверу.
- Если цель — несвязываемость, использовать отдельный профиль браузера, контейнер или чистое состояние браузера.
- Не входить в один и тот же аккаунт в обеих сессиях, если связность аккаунта неприемлема.
- Не переносить между двумя активностями cookies, сохранённые сессии, постоянные идентификаторы и заметные настройки браузера.
Последние пункты — общая гигиена приватности, а не исправление, специфичное только для Mullvad. Но они всё равно нужны. Если вы остаётесь залогинены в тот же аккаунт сайта, сохраняете те же cookies или используете тот же фингерпринт браузера, устранение VPN-сигнала не уберёт более простые сигналы трекинга.
Для настоящего разделения сессий смену VPN нужно сочетать с разделением браузера и аккаунтов. Иначе VPN изменится, а веб-идентичность останется той же.
Практические выводы#
Выбирайте действия под свою модель угроз.
Если Mullvad нужен вам в основном для скрытия реального IP от сайтов#
- В раскрытии Mullvad нет указаний, что были раскрыты ваш реальный IP-адрес, номер аккаунта, платёжные данные, содержимое трафика или личность.
- Не нужно панически менять провайдера или ротировать аккаунты только из-за этого раскрытия.
- Продолжайте соблюдать базовые правила приватности: обновляйте приложение, держите VPN включённым, когда он нужен, и не считайте, что VPN скрывает cookies, логины или фингерпринты браузера.
Если вы меняете серверы Mullvad, чтобы сессии выглядели несвязанными#
Пока новый метод назначения exit IP от Mullvad не развёрнут, считайте простую смену сервера неполным разделением.
Делайте так:
- Завершите первую активность.
- Выйдите из приложения Mullvad.
- Войдите снова, чтобы заново создать ключ WireGuard и изменить внутренний IP-адрес, как рекомендует Mullvad.
- Подключитесь к следующему серверу.
- Начните следующую активность в отдельном профиле браузера, контейнере или чистой сессии.
- Не переносите cookies, активные логины, идентификаторы восстановления и другое постоянное веб-состояние.
Это не гарантирует анонимность против любого трекера, но убирает конкретную VPN-непрерывность, описанную Mullvad, и снижает более простые сигналы корреляции на стороне веба.
Если вы отвечаете за рекомендации по приватности в команде#
- Объясните пользователям, что «новый VPN-сервер» и «новый контекст идентичности» — не одно и то же.
- Для чувствительной работы задайте повторяемую процедуру разделения: сброс состояния сессии Mullvad, смена состояния браузера, разделение аккаунтов и список того, что нельзя использовать повторно.
- Следите за развёртыванием нового метода назначения exit IP у Mullvad, прежде чем ослаблять эту процедуру.
- Если рабочий процесс требует строгой несвязываемости, проверяйте не только VPN, но и браузерные профили, cookies, аккаунты, часовой пояс, язык, расширения, DNS-поведение и другие постоянные признаки.
Что стоит проверить у себя#
Если вы используете Mullvad в обычном режиме, проверка простая: убедитесь, что приложение обновляется, а сценарии с высокой чувствительностью не смешиваются с повседневным браузером и привычными аккаунтами.
Если вы действительно полагаетесь на смену серверов как на границу между сессиями, проверьте три вещи:
- Меняется ли состояние Mullvad при переходе между серверами: выход из приложения и повторный вход должны заново создать ключ WireGuard и внутренний IP.
- Не остаётся ли в браузере прежнее состояние: cookies, Local Storage, активные логины, расширения и фингерпринт могут связать сессии быстрее, чем любой VPN-сигнал.
- Не повторяете ли вы одни и те же аккаунты, номера телефонов, резервные email, платёжные данные или поведенческие паттерны в сессиях, которые должны быть разделены.
Главная практическая проверка: если сайт всё равно узнаёт вас после смены сервера, причина может быть не только в exit IP. Часто это обычный логин, cookie или устойчивый профиль браузера.
Чего это не означает#
Это не означает, что Mullvad «раскрывает всех пользователей». Это не означает, что сайты получают реальные IP-адреса. Это не означает, что VPN-шифрование сломано. Это не означает, что каждый переход между серверами автоматически связывается с конкретным человеком.
Корректная формулировка уже: при некоторых условиях назначение exit IP может дать наблюдателю дополнительный сигнал, помогающий связать две VPN-сессии одного пользователя при переходе между серверами.
Для большинства пользователей это ограниченный риск. Для людей, которые используют смену VPN-серверов как часть разделения идентичностей или чувствительной работы, риск практический: до развёртывания исправления у Mullvad нужно сбрасывать состояние приложения и не забывать про разделение браузера и аккаунтов.
Итог#
Раскрытие Mullvad показывает разницу между «скрыть реальный IP» и «разорвать связь между сессиями». VPN хорошо решает первую задачу, но вторая всегда требует больше дисциплины: отдельного состояния приложения, отдельного состояния браузера и аккуратного обращения с аккаунтами.
Пока Mullvad разворачивает новый метод назначения exit IP, пользователям с высокими требованиями к несвязываемости стоит не ограничиваться простой сменой сервера. Без выхода из приложения, повторного входа и чистого браузерного контекста смена VPN-сервера может оставить больше следов непрерывности, чем кажется.