VPN 能防止浏览器指纹识别吗？

想到被追踪，你多半会想到一个地址：一串能追溯到你家的数字。正因为这个印象，很多人以为 VPN 可以终结追踪：换掉地址，线索就断了。可是网站还有另一种认人的办法，完全不需要地址，它们直接观察这位访客本身。浏览器和设备在网站眼中呈现出的那一堆细小特征，合在一起就叫浏览器指纹，而 VPN 碰不到它。

本文解释指纹识别衡量的是什么，为什么 VPN 不去触动它，哪些地方 VPN 反而可能让不一致更显眼，如何读懂指纹测试的结果，以及哪些习惯确实能降低影响。目标是建立现实的预期：指纹识别可以减轻，却无法抹去，任何承诺相反结果的人都是在卖东西。

先说结论

VPN 不能防止浏览器指纹识别。它替换网站看到的 IP 地址，并加密传输路径。指纹则由你的浏览器和设备自己形成：网站询问时它们如何回答，网站运行小测试时它们如何表现。这些没有一项会因为经过 VPN 而不同。无论连接与否，都是同一个浏览器、同一块屏幕。

把两个概念分开的办法是：IP 地址回答“这条连接来自哪里”，指纹回答“这是一台什么样的机器、什么样的浏览器”。VPN 改写第一个答案，第二个答案原封不动。

指纹由什么构成

页面加载时，它能向浏览器提出出人意料多的问题，而浏览器会如实回答，因为网页本来就是这样工作的。许多答案是正确显示页面所必需的，比如屏幕尺寸和语言。追踪脚本把这些答案收集起来，再组合在一起。

• 浏览器及版本。 产品名称和发行版本号。
• 操作系统和设备类型。
• 屏幕和窗口尺寸，以及色深和像素密度。
• 语言和地区设置，包括偏好语言列表。
• 时区。
• 已安装字体。 不同系统和应用会装上不同的字体。
• 图形表现。 页面可以绘制一幅看不见的图，而你的显卡与驱动渲染这幅图时细微的差别是可以被测量的。音频处理也是同样的思路。
• 硬件线索，例如处理器核心数或是否支持触控。
• 启用的扩展和设置，它们有时会改变网页的行为。
• 隐私设置本身，例如“请勿跟踪”请求或被屏蔽的功能。

每一项都平平无奇，数以百万计的人使用同一版本的浏览器。诀窍在于组合。设想下面这些纯属举例的比例：二十个用户里有一个与你的语言列表相同，十个里有一个与你的时区相同，十五个里有一个与你的屏幕尺寸相同，五十个里有一个与你的字体集相同。相乘之后，你大约是十五万人中的一个。再加上图形表现和另外几项细节，你可能在一大群人中独自一人。问题不在于某一个细节，而在于它们堆在一起。

VPN 在这件事里的位置

对此有影响的，VPN 只做了一件事：改变 IP 地址，通常也改变这个地址所暗示的大致地区。在指纹中，IP 只是众多输入之一，有些系统把它当作最强的线索之一。去掉它，这条线索就没了，但其余的仍在。

还有一些地方，VPN 和指纹可能互相矛盾：

• 时区与语言。 如果浏览器报告的是某个地区的时区，而 IP 地址指向另一个地区，这种不一致是看得见的。它并不能证明关于你的任何事，但可能显得不寻常。
• WebRTC。 在某些浏览器里，用于视频通话的功能可能绕过正常路径泄露网络地址。什么是 WebRTC 泄漏对此作了说明，MDN 文档则从技术角度描述了该功能。
• 账号。 无论指纹显示什么，登录状态都会直接告诉网站你是谁。

这样看，VPN 和指纹防护是两个不同的层面。VPN 保护路径，浏览器设置塑造指纹，二者无法互相替代。想了解还有哪些信息依然可见，请读用了 VPN 还能被追踪吗。

逐个信号来看

下表涵盖主要的指纹信号：VPN 是否改变它们，以及什么才能真正改变它们。

信号	VPN 会改变吗	什么能降低它
IP 地址与地区	会	VPN、Tor
浏览器名称与版本	不会	保持更新，使用常见的版本
操作系统	不会	几乎无能为力
屏幕与窗口尺寸	不会	避免不寻常的窗口尺寸，保持默认大小
语言与时区	不会	保持与你所在地区相符的常规设置
已安装字体	不会	使用会限制字体访问的浏览器
图形与音频表现	不会	使用会加入干扰或统一输出的浏览器
扩展	不会	少装，只装可信的
WebRTC 地址	有时受影响	浏览器设置，或能处理此问题的 VPN
已登录的账号	不会	不需要时退出登录

表格里的规律就是重点：只有第一行和倒数第二行与网络有关，其余全部存在于浏览器之中。

怎样读指纹测试的结果

免费的测试是在自己设备上看到这一切最快的办法。EFF 的 Cover Your Tracks 会逐项检查并加以解释。连上 VPN 前后各测一次，对比结果。

1. 在普通浏览器上不开 VPN 运行测试，记下结果是说你的浏览器指纹独一无二，还是能与其他人混在一起。
2. 如果显示了熵值，看一下。比特数越高，说明这个组合越罕见。
3. 连上 VPN 再运行一次。预期与 IP 有关的几行会变，与浏览器有关的几行保持不变。
4. 留意哪些属性的贡献最大，往往是字体、图形或者某个不寻常的扩展。
5. 换一个浏览器，或开一个私密窗口，再测一次。

有两点要小心。第一，“独一无二”的结果不代表你正被人跟踪，只是说明追踪者如果想认你，是认得出来的。第二，有些浏览器会故意对某些值做随机化，于是测试可能告诉你“已随机化”，这是个好结果，但看起来有点怪。如果结果让你困惑，EFF Surveillance Self-Defense 的指南用通俗的语言解释了这些概念。

融入人群，还是打乱自己：两种策略

降低指纹识别大致有两种思路，如果随意混用，它们会互相抵消。

融入人群。 让你的浏览器看起来和成千上万的其他浏览器一样。Tor Browser 就采取这种做法：所有人使用相同的窗口尺寸，报告相同的细节，没有人显得突出。代价是牺牲一些便利和速度。想知道它与 VPN 有何不同，请看VPN 与 Tor 对比。

随机化。 加入少量干扰，使你的指纹每次都不同，无法在多次访问之间匹配。一些注重隐私的浏览器会对图形和音频这样处理。它能切断不同访问之间的联系，但可能让网站觉得有些异常。

错误往往出在手动把两者混用。改用户代理、同时装好几个隐私扩展、再调整窗口大小，可能让你变成极少数拥有这种配置的人之一，这与“融入”恰恰相反。一般来说，手动折腾得少，比折腾得多更安全。一个旨在保护你的扩展，本身也是让你变得罕见的又一个因素。

普通用户的实用步骤

你不需要成为专家。下面这些步骤投入最少，回报最高。

1. 保持浏览器更新。 当前版本最为常见，而且每次更新都会加入防追踪功能。
2. 选用内置指纹防护的浏览器，并把它的隐私设置读一遍。具体措辞因浏览器和版本而异。
3. 少装扩展。 每一个都会改变指纹，而且每一个都能看到你加载的页面。
4. 别动窗口尺寸。 经常调整大小或使用古怪的尺寸，会让你显得突出。
5. 让语言和时区保持自然。 与你真实所在地区以及 VPN 服务器所在地区相符的设置，看起来更一致。不要为了显得不同而去改动。
6. 使用独立的浏览器配置文件，把希望分开的活动隔开，这样一个指纹就不会与所有事情绑在一起。
7. 不需要时退出大型账号，因为无论指纹如何，登录都会把活动联系起来。
8. 敏感操作使用私密窗口，但要记住它隐藏的是你本机上的历史记录，而不是你的指纹。
9. 改动之后重新测试，看是否有效。
10. 让 VPN 专注于它的本职，比如共享 Wi-Fi，详见VPN 能保护什么。

三个例子

比价的购物者。 小潘注意到同一趟航班搜索两次价格不同。指纹测试显示她的浏览器非常独特，原因是字体列表很长，还装了好几个扩展。她删掉不再使用的扩展，并为购物换用另一个浏览器配置文件。她明白这只是降低，而不是隐身斗篷。VPN 仍留在手机上，用于咖啡馆的网络。

公司笔记本。 阿凯用的是雇主管理的笔记本，浏览器和设置都是标准的。他的指纹看起来和许多同事的浏览器相似，因为配置是刻意统一的。他无需改动任何东西。他在公共网络上用 VPN，并把工作账号和私人账号放在不同的配置文件里。

扩展装了一堆的学生。 小兰为了记笔记、翻译和深色模式装了十几个扩展。她的测试结果比预期罕见得多。她只留下三个，其余全部删除。差别很大，因为扩展是浏览器最具辨识度的部分之一，装得少，配置就更大众化。

你应当预期的局限

• 无法降到零。 网站需要一些信息才能正确显示页面。
• 防护可能让某些功能出问题。 统一或屏蔽功能，可能让视频通话、地图或游戏表现异常。准备好为你信任的网站把某项设置改回去。
• 更强的防御不一定更好。 你的配置越不寻常，就越显眼。
• 服务器端同样会了解你。 你点击和输入的方式，以及使用的账号，都是浏览器指纹之外的信号。
• 测试只是一个快照。 浏览器和追踪技术都在变化，今天的好结果未必能一直保持。

坦诚的结论是：用合理的默认设置降低可见度，把 VPN 用于网络保护，而不是指望它实现浏览器匿名。

常见误区

• 指望 VPN 隐藏浏览器。
• 同时安装许多隐私扩展。
• 手动把用户代理改成奇怪的值。
• 只在开着 VPN 时跑指纹测试，并以此作为证明。
• 忘了登录会让所有匿名的努力化为乌有。
• 设置的语言或时区与其他一切都相矛盾。

总结

浏览器指纹是一组细小细节的组合，例如字体、屏幕尺寸、语言、时区和图形表现，它不需要 Cookie 或地址就能识别一个浏览器。VPN 改变 IP 地址并加密传输路径，却不改变这些细节。想降低指纹识别，就保持浏览器更新，选用内置防护的浏览器，少装扩展，避免不寻常的调整，并对结果进行测试。接受它可以降低，却无法消除。

如果你在养成这些浏览器习惯的同时，还需要共享网络上的保护，可以在价格页面了解预付通行证的运作方式。