Fingerprinting a Mullvad VPN: riscos reals i com protegir-te

En aquest article desgranarem amb calma què és exactament el fingerprinting a Mullvad VPN (tant a nivell de navegador com a nivell d'IP i servidors), què s'ha descobert sobre l'assignació d'adreces de sortida, com funciona la protecció específica del Mullvad Browser, quins límits realment té una VPN en termes d'anonimat i què pot fer una persona o una startup per reforçar el seu model de seguretat més enllà del simple “em connecto a una VPN”.

Què és el browser fingerprinting i per què és tan punyeter

El fingerprinting del navegador consisteix a construir una empremta gairebé única del dispositiu a partir de la informació que el teu navegador comparteix automàticament amb cada web que visites. No parlem de res exòtic o il·legal: forma part del propi disseny de la web, on el lloc “pregunta” al teu navegador per dades necessàries per mostrar-te bé el contingut.

Quan entres en una pàgina, aquesta pot recopilar detalls com ara el tipus i versió de navegador, sistema operatiu, targeta gràfica, drivers, llista de fonts instal·lades, plugins, mida de la pantalla o zona horària. Cadascun d'aquests atributs, per separat, sembla innocu. El problema arriba quan es combinen: el conjunt de respostes pot ser tan peculiar que et converteixes en un usuari pràcticament únic als ulls de qui recopila aquestes dades.

La diferència amb les galetes o la IP és important. Una galeta és un fitxer que es desa de forma local al dispositiu i que pots esborrar o bloquejar. La adreça IP està directament associada a la teva connexió, i és obvi que serveix per localitzar-te i seguir el teu rastre al llarg del temps. El fingerprinting, en canvi, funciona a un nivell més opac: és una forma de empremta digital que no veus res, no tens un missatge d'”acceptar” o “rebutjar” i, a la pràctica, no saps que estàs sent perfilat.

Organitzacions com l'Electronic Frontier Foundation (EFF) i el mateix Tor Project fa anys que avisen: no cal emmagatzemar una galeta amb un identificador únic si el fingerprint del navegador ja és prou distintiu. En molts estudis empírics s'ha comprovat que una proporció altíssima de navegadors tenen una empremta única o gairebé única.

La cosa es complica perquè, segons la investigació acadèmica i el desenvolupament de la pròpia web, cada nova API o funció gràfica pot obrir una via addicional per al fingerprinting: gràfics 3D, àudio, fonts, sensors… A mesura que la web “s'enriqueix”, també s'enriqueixen les maneres de reconèixer-te.

Tècniques avançades de fingerprinting: Canvas, WebGL, AudioContext i DrawnApart

Més enllà de les típiques capçaleres del navegador, avui s'utilitzen tècniques força sofisticades per distingir dispositius entre si. Una de les més conegudes és el Canves fingerprinting. Un script demana al teu navegador que dibuixi un text i un emoji amb determinats colors i tipografies. A simple vista, el resultat pot semblar idèntic en dos ordinadors diferents, però a nivell de dades binàries, les diferències en fonts, GPU i drivers produeixen una imatge lleugerament diferent que es pot convertir en una empremta.

Una cosa semblant passa amb WebGL, l'API que permet renderitzar gràfics 3D al navegador. Un lloc pot demanar que es “dibuixi” un simple triangle en 3D. Encara que a ull humà tots els triangles es vegin igual, el hash del contingut renderitzat exposa característiques del vostre maquinari gràfic i de la seva implementació concreta. Des del mateix Tor Project s'ha assenyalat WebGL com un dels majors vectors de fingerprinting a la web moderna, al punt que el hash de la imatge es pot utilitzar pràcticament com si fos una galeta.

El fingerprinting d'àudio, mitjançant l'API AudioContext, explota una cosa semblant: en generar un senyal i mesurar com la processa la teva targeta de so i els seus drivers, s'obté una sortida amb variacions molt fines que poden servir per diferenciar dispositius, fins i tot quan en teoria usen el mateix maquinari.

Investigacions recents, com el treball conegut com DrawnApart, han anat un pas més enllà. Aquí es va demostrar que fins i tot dos GPUs del mateix model, sortides de la mateixa fàbrica, presenten petites variacions en el seu procés de fabricació que es tradueixen en diferències de temps de renderització. Mesurant amb precisió mil·limètrica aquests temps, els autors van aconseguir crear empremtes diferents per a màquines que, sobre el paper, eren idèntiques. Dit en plata: ni tan sols n'hi ha prou amb “amagar-se” darrere d'un maquinari comú, perquè la fabricació introdueix matisos que es poden explotar.

Tot això explica perquè, en estudis d'organitzacions com l'EFF o diferents universitats, prop del 90-99% dels navegadors acaben sent únics en un conjunt prou gran. I si el teu navegador és únic, tant se val que canviïs d'IP o esborris cookies: la teva empremta et delata.

Ús massiu del fingerprinting a la web actual

Que el fingerprinting sigui tècnicament possible ja no és cap novetat; el que és preocupant és el seu grau d'adopció. Diferents anàlisis han detectat que una porció molt rellevant de les webs més visitades del món ja integra algun tipus de script de fingerprinting.

Per exemple, un estudi comentat per Wired assenyalava que aproximadament una cambra dels 10.000 dominis més populars (segons el rànquing d'Alexa al seu moment) executaven scripts d'aquest tipus. ZDNet va publicar xifres similars, apuntant que al voltant del 10% de les 100.000 webs top ja incorporaven tècniques avançades per perfilar usuaris. Els mitjans parlaven sense embuts d'un “mecanisme de seguiment de nova generació” que pren el relleu de les galetes de tercers, cada cop més acorralades per la regulació i els navegadors.

En el terreny acadèmic, treballs de l'EFF ja el 2010 mostraven que més del 90% dels navegadors analitzats generaven fingerprints únics, arribant a extreure unicitat en el 94% dels casos quan els usuaris tenien Flash o Java actius. Posteriors recollides d'empremtes per universitats franceses van demostrar que, en conjunts de més de 100.000 fingerprints, prop del 90% eren únics. Un altre estudi conjunt entre la Universitat de Lehigh i la de Washington a St. Louis assegurava poder identificar correctament el 99,24% dels usuaris sota el seu model.

En paral·lel, experts i activistes han avisat que, per a col·lectius amb necessitats crítiques de confidencialitat.periodistes, activistes, personal militar o directius d'empreses sensibles— aquest tipus de tècniques deixen de ser un tema purament teòric. Aquests grups ja no es poden permetre ignorar el fingerprinting si volen mantenir les seves activitats fora de perill de correlacions i seguiments a llarg termini.

La posició del Tor Project i l'enfocament hide in the crowd

El Tor Project ha estat probablement l'entitat que més ha empès la idea que l'única defensa raonable davant del fingerprinting és assemblar-se al màxim als altres. La seva filosofia és simple però contundent: si tots els usuaris d'un navegador donen exactament la mateixa empremta, és molt més difícil distingir-ne un de concret dins la massa.

Als seus materials expliquen, a més, un fenomen curiós que han batejat com la «paradoxa de la privadesa fingerprintable». Bàsicament, com més extensions, pegats i ajustaments personalitzats apliques al teu navegador per “protegir-te”, més diferent et tornes de la resta. És a dir, les defenses es converteixen en el teu propi identificador. Instal·lar un munt de plugins rars o canviar dotzenes de flags pot ser just el que necessites per transformar-te en un outlier que destaca a qualsevol base de dades de fingerprints.

Des de Tor insisteixen també que el fingerprinting té dos grans avantatges per a qui vigila: no necessita demanar permís per recollir dades, i funciona fins i tot si l'usuari creu haver pres mesures clàssiques com esborrar cookies o fer servir una VPN. Qualsevol script que s'executi al navegador pot començar a construir la teva empremta sense que vegis ni un sol avís.

I per si no n'hi hagués prou, admeten que el fingerprinting no desapareixerà en un futur proper. Es recolza en mecanismes i APIs tan arrelats a l'arquitectura de la web que eliminar-lo del tot seria extremadament complex. El que sí que es pot fer és mitigar el seu impacte amb navegadors endurits i models de “tots ens semblem”, com veurem en el cas de Mullvad Browser. El Tor Project promou aquestes idees fins i tot a través del Tor Browser.

Fingerprinting a Mullvad VPN a nivell de servidors i adreces IP

Més enllà del navegador, ha sortit a la llum un aspecte delicat relacionat amb com Mullvad assignava les IP de sortida als seus servidors. Un investigador de seguretat va descobrir que aquesta assignació no era completament aleatòria, sinó que es basava en un mecanisme determinista vinculat al perfil o la clau de l'usuari.

Cada servidor de Mullvad gestiona molts clients de manera simultània. Per motius tècnics (limitacions del nombre de connexions per IP, gestió de NAT, etc.), un servidor no utilitza una sola IP de sortida, sinó un rang sencer d'adreces. Quan us connecteu a un servidor, se us assigna una IP de sortida concreta dins d'aquest rang i, a més, una adreça interna de túnel juntament amb una clau WireGuard única.

El problema que s'ha identificat és que, si l'usuari canviava de servidor però mantenia la mateixa direcció interna i clau WireGuard, la posició relativa de la seva IP de sortida dins del rang del nou servidor tendia a repetir-se. Per exemple, si al servidor A se t'assignava la IP situada aproximadament al 40% del rang, al servidor B també solia tocar-te una IP al voltant del 40% del seu rang. La conseqüència pràctica és que un observador amb capacitat de veure el trànsit que surt de diversos servidors podia fer bones conjectures per vincular sessions d'un mateix usuari entre servidors diferents.

És important matisar que això no revelava la identitat real de la persona —no apareixia el teu nom ni la teva adreça física—, però sí que permetia inferir que el mateix subjecte que abans sortia per una IP d'un servidor ara està sortint per una IP molt concreta d'un altre servidor. Per als que canvien de servidor precisament perquè no es puguin correlacionar activitats entre nosaltres, aquest comportament era un problema seriós.

Aquesta correlació d'IP de sortida s'entén millor com un vector de fingerprinting a nivell d'infraestructura: fins i tot quan molts usuaris comparteixen les mateixes IP, el patró d'assignació relatiu pot crear una mena d'empremta que faciliti inferències, sobretot si es combina amb informació dhoraris, volum de trànsit o altres metadades.

Resposta de Mullvad al problema de correlació d'IP de sortida

Després de detectar i comunicar aquest comportament, Mullvad va reconèixer públicament el risc de correlació entre servidors i va explicar amb força detall què estava passant. En el seu avís van indicar que el vector afectava, sobretot, usuaris que canviaven de servidor amb la intenció explícita de “trencar” qualsevol possible enllaç entre activitats passades i futures.

Com a mitigació immediata, van recomanar que, si es canvia de servidor amb aquest objectiu d'anonimat reforçat, l'usuari tanqueu sessió a l'app de Mullvad i torneu a iniciar sessió. Això força la generació duna nova clau WireGuard i un nou túnel intern, reduint la probabilitat que la IP de sortida mantingui una posició correlacionable en altres servidors.

Paral·lelament, la companyia va anunciar que estava provant un nou mètode d'assignació d'IPs de sortida dissenyat perquè el patró usat en un servidor no aporti cap pista sobre ladreça que sutilitzarà en un altre. És a dir, que observar quina IP et toca al servidor X no permeti anticipar ni inferir amb facilitat quin et tocarà al servidor Y, ni ajudi a distingir el teu trànsit del d'altres usuaris dins del mateix node.

Aquest tipus de transparència encaixa amb la imatge de Mullvad com a VPN centrada en la privadesa i sense registres, però també deixa un ensenyament incòmode: fins i tot proveïdors molt orientats a l'anonimat poden cometre errors de disseny que acabin obrint portes a la correlació de trànsit.

Fingerprinting, VPN i startups: per què no n'hi ha prou amb “posar una VPN i ja”

Al món startup és habitual assumir que amb fer servir una VPN “de les bones” ja s'ha resolt l'apartat de privadesa. El cas de Mullvad, tant pel tema de les IPs de sortida com per les pròpies limitacions del fingerprinting de navegador, mostra que aquesta visió és massa simplista per a entorns tech que manegen informació sensible.

Una VPN aporta dues coses fonamentals: xifra el trànsit entre el dispositiu i el servidor VPN i amaga la teva IP real darrere d'una IP de sortida compartida. Però no protegeix de tot. Un observador pot continuar veient volum de trànsit, moments de connexió, tipus de protocol i patrons temporals. I, per descomptat, la VPN no bloqueja el fingerprinting del navegador ni les fuites via WebRTC, DNS mal configurats, scripts de tracking o extensions indiscretes.

Per a una startup que utilitza VPN per a accés remot a infraestructura, treballo des de xarxes Wi‑Fi públiques, investigació de mercats o de competidors, o protecció de comunicacions, això implica que segueixen existint vectors dexposició. Un adversari capaç de correlacionar fingerprints, IP de sortida i horari dús pot inferir coses tan delicades com lestructura de torns de treball, qui es connecta a quin sistema o des de quins països sopera realment.

Per això cada cop més empreses tecnològiques complementen —i fins i tot reemplacen— l'ús tradicional de VPN per models de Accés a la xarxa de confiança zero (ZTNA). En lloc de refiar-se de “tot allò que ve des de la VPN”, l'accés es concedeix sobre la base de múltiples senyals: identitat autenticada amb MFA, integritat del dispositiu, context geogràfic, horari, riscos coneguts, etc. La VPN continua sent útil com a capa de xifratge, però deixa de ser la peça central del model de seguretat.

Com protegeix el Mullvad Browser davant del fingerprinting

Mullvad, en col·laboració amb el Tor Project, ha desenvolupat el Navegador Mullvad, un navegador basat en la tecnologia de Tor Browser però pensat per utilitzar-se amb una VPN en lloc de amb la xarxa Tor. L'objectiu és facilitar que tots els usuaris es “confonguin” entre si compartint pràcticament el mateix fingerprint.

Per aconseguir-ho, la configuració ve endurida de fàbrica. S'activa el mode de resist fingerprinting del Firefox, que altera o emmascara molts paràmetres típicament usats per crear empremtes: agent d'usuari, zona horària, comportament de finestres, etc. A més, només s'exposa un conjunt limitat de fonts al navegador, es deshabiliten o retallen APIs de maquinari susceptibles de filtrar-te (com la informació detallada de CPU, fils d'execució o certs sensors) i es limita l'accés a funcions de WebGL que permeten llegir allò renderitzat, bloquejant per exemple la funció readPixels.

Un altre vector habitual de fingerprint és la mida exacta de la finestra del navegador. Tots tenim manies: hi ha qui maximitza sempre la finestra, uns altres prefereixen mitja pantalla, altres l'arrosseguen contínuament. Cada combinació de mida i proporció es pot tornar part de la teva empremta. Per evitar-ho, Mullvad Browser introdueix la tècnica de letterboxing: afegeix vores per arrodonir les dimensions a blocs predefinits, de manera que sigui molt més complicat extreure'n un identificador únic a partir d'aquesta mesura.

Pel que fa a cookies, el navegador funciona sempre en mode privat. No guarda historial ni galetes entre sessions, ia més utilitza First-Party Isolation (FPI) perquè els tercers (per exemple, la típica gran empresa de publicitat que apareix a mil webs) no puguin correlacionar totes les teves visites. Cada lloc que visites rep les seves “pròpies” galetes de tercers aïllades en “pots” separats; quan passes a un altre domini, aquests mateixos trackers, encara que hi siguin presents, es veuen limitats a un contenidor diferent, de manera que la seva capacitat de construir un perfil continu disminueix radicalment.

Per completar la protecció, Mullvad Browser inclou de sèrie uBlock Origin com a bloquejador de scripts i trackers, encara que amb una filosofia prudent: bloqueja una gran quantitat de rastrejadors i anuncis de tercers, però s'evita caure en la temptació d'afegir mil llistes i pegats que podrien fer el navegador massa distintiu. La idea és bloquejar el més perillós i sorollós sense convertir la configuració per defecte en una cosa rara que només usen quatre gats.

Un altre punt clau és la eliminació total de la telemetria. Mentre que molts navegadors recopilen mètriques d'ús, informes d'errors i comprovacions periòdiques d'actualització que, en teories, es fan servir per millorar el producte, Mullvad opta per no recollir res: sense sessions comptades, sense estadístiques d'ús, sense dades de comportament. Aquesta decisió encaixa amb la seva filosofia general de “no confiar que algú guardi bé les teves dades, sinó directament no tenir-ne”.

El paper de les extensions: quan protegir-te et fa més visible

La teoria és clara: com menys diferències hi hagi entre el teu navegador i el dels altres usuaris del mateix perfil, més difícil serà identificar-te. A la pràctica, els usuaris tendeixen a instal·lar extensions addicionals (VPNs extra, gestors de contrasenyes, overlays de vídeo, scripts de productivitat, etc.), i cada extensió nova és una oportunitat perquè el teu fingerprint es torni únic.

Dins la pròpia comunitat de Mullvad i Tor s'ha debatut molt sobre això. Algunes proves han mostrat que determinades extensions deixen recursos web accessibles, scripts injectats o canvis al DOM que una pàgina pot detectar per deduir quines extensions portes posades. Altres poden provocar peticions de xarxa addicionals molt característiques. Encara que els permisos mostrats pel navegador en instal·lar una extensió donen una pista, no són prou fins per determinar per si sols si alguna cosa serà fingerprintable.

En analitzar el manifest d'una extensió es poden cercar assenyaladors com a recursos web accessibles, content scripts que modifiquen pàgines, capacitat d'interceptar trànsit o permís per actuar a <all_urls>. Però fins i tot amb tot això, no sempre és clar si un canvi serà estable i consistent com per servir de petjada. Una extensió que modifica pàgines de forma aleatòria, per exemple, seria poc útil com a vector de seguiment.

Malgrat tota aquesta complexitat, la recomanació que s'acaba imposant és força contundent: en navegadors l'estratègia de defensa dels quals es basa en la uniformitat, com Tor Browser o Mullvad Browser, el més sensat és no instal·lar cap extensió addicional. Com més et surtis del perfil estàndard, més gran és el risc que acabis sent identificable, encara que en teoria “millorin la teva privadesa”.

Limitacions reals: casos com fingerprint.com o tests de Cover your Tracks

Alguns usuaris de Mullvad Browser han observat comportaments curiosos en fer servir eines de test de fingerprinting com fingerprint.com o Cover Your Tracks de l'EFF. Per exemple, hi ha reports de gent que, tot i polsant el botó de “New Identity” al navegador o tancant i obrint sessions, veieu com aquestes pàgines els mostren el mateix identificador de visitant en diferents visites.

Això serveix per recordar una idea important: els tests de laboratori o les eines en línia són útils per fer-se una idea general, però no sempre reflecteixen de forma exacta com funcionen els mecanismes de seguiment al món real. Algunes pàgines usen galetes o emmagatzematge local normals per mantenir un ID entre sessions; altres combinen diferents capes (cookies, emmagatzematge, fingerprint parcial) que no es comporten exactament igual que els scripts més agressius usats a la indústria publicitària.

A més, desenvolupadors associats a Mullvad han assenyalat que certs tests públics com Cover Your Tracks no cobreixen tots els vectors moderns de fingerprinting i poden fer una falsa sensació de seguretat o, al contrari, semblar alarmistes en situacions on el risc real és menor. El que és important no és obsessionar-se amb aconseguir la puntuació perfecta en una web de proves, sinó entendre bé què està mesurant, què no està mesurant i quin model d'amenaça tens en concret.

En resum, si un test en línia et diu que ets “únic” però estàs usant alguna cosa com Mullvad Browser amb configuració per defecte i sense extensions, el més probable és que s'estigui fixant en aspectes que no són fàcilment explotables a gran escala o que depengui de galetes no esborrades entre recàrregues. Convé interpretar aquests resultats amb cautela i no com una sentència definitiva sobre la teva invisibilitat.

Què pot fer una persona o una startup per reforçar la seva privadesa

A la vista de tot això, confiar cegament que una VPN “privacy‑first” et farà completament anònim és una aposta arriscada. La protecció real ve de combinar diferents capes de seguretat i bones pràctiques, un únic producte miraculós.

Per a usuaris individuals, un primer pas raonable és auditar el propi entorn: comprovar fuites de DNS i WebRTC amb eines tipus ipleak, revisar quines extensions estan instal·lades i eliminar les que no siguin estrictament necessàries, utilitzar navegadors endurits (Mullvad Browser, Tor Browser, o un Firefox/Brave ben configurat) per a les tasques més sensibles i reservar altres navegadors separats per a ús quotidià amb comptes personals.

En el cas de startups o equips distribuïts, té sentit anar més enllà i adoptar un enfocament de defensa en profunditat. Això implica implementar MFA fort (idealment amb claus FIDO2/WebAuthn), segmentar la xarxa i els serveis interns perquè ningú tingui més accés de l'imprescindible, controlar els endpoints mitjançant solucions d'EDR/MDM i monitoritzar accessos amb alertes per geolocalització sospitosa o horaris anòmals.

També és clau separar identitats: perfils de navegador diferents per a treball corporatiu i usos personals, i fins i tot dispositius físics diferenciats per a operacions especialment sensibles. Tot això redueix l'impacte que es puguin correlacionar una empremta o una IP de sortida, perquè limita què és el que realment es pot aprendre sobre l'organització a partir d'aquesta dada.

Per acabar, per a organitzacions que gestionen dades molt crítiques o que operen en entorns d'alt risc, pot compensar contractar auditories de seguretat externes. Una anàlisi seriosa del teu stack de privadesa, els teus fluxos d'accés i les teves polítiques de registre sol costar menys —en diners i en disgustos— que afrontar una filtració derivada de una correlació que ningú no havia previst.

Al final, tant el cas del fingerprinting a Mullvad VPN com l'evolució general de les tècniques de rastreig en línia ens recorden que la privadesa no és un interruptor que s'encén instal·lant una app, sinó un procés continu: entendre com et poden seguir la pista, assumir que cap eina és infal·lible i construir la teva pròpia “ceba” de cap les defensives per, fins i tot, que rastrejar-te sigui, com a mínim, un mal de cap per a qualsevol que ho intenti.