Seu ISP consegue ver que você está usando um proxy?

Um provedor de acesso à internet (ISP) normalmente consegue detectar que você está usando um serviço de proxy ao observar os padrões do seu tráfego de rede, mesmo que nem sempre consiga decifrar o conteúdo da sua comunicação.

Seu ISP é a sua porta de entrada para a internet, ou seja, todos os seus dados passam pela infraestrutura dele. Quando você se conecta a um servidor proxy, seu dispositivo estabelece uma conexão com o endereço IP do proxy. Essa conexão em si é visível para o ISP.

Como os ISPs detectam o uso de proxy

Os ISPs empregam vários métodos para monitorar o tráfego de rede com finalidades operacionais, de segurança e regulatórias.

Análise de tráfego

Seu ISP registra os endereços IP e as portas de destino aos quais você se conecta. Se o seu dispositivo se conecta constantemente a um único endereço IP conhecido por hospedar serviços de proxy ou VPN, ou a um endereço IP que foge bastante dos padrões normais de navegação (por exemplo, todo o tráfego roteado por um único IP não convencional), isso pode indicar uso de proxy.

Considere um padrão normal de navegação, em que o dispositivo se conecta a vários IPs de destino distintos:

Seu dispositivo -> ISP -> Google.com (IP A)
Seu dispositivo -> ISP -> Wikipedia.org (IP B)
Seu dispositivo -> ISP -> Facebook.com (IP C)

Ao usar um proxy, todo o seu tráfego de internet é direcionado primeiro ao IP do servidor proxy:

Seu dispositivo -> ISP -> IP do servidor proxy (IP X)

Da perspectiva do ISP, todo o tráfego seguinte do seu dispositivo parece originar-se e terminar no IP X. Esse padrão de conexão monolítico é um forte indício de uso de proxy ou de túnel.

Deep Packet Inspection (DPI)

O DPI permite que os ISPs examinem os cabeçalhos e, em alguns casos, o payload dos pacotes de dados. Embora uma criptografia forte impeça o ISP de ler os dados reais (por exemplo, o site específico que você está visitando pelo proxy), o DPI ainda consegue identificar características dos protocolos de proxy.

Por exemplo, uma conexão de proxy HTTP padrão pode envolver uma requisição CONNECT inicial:

CONNECT proxy.example.com:8080 HTTP/1.1
Host: target.website.com

Mesmo que o tráfego seguinte seja criptografado (HTTPS), a requisição CONNECT inicial costuma trafegar sem criptografia e é identificável pelo DPI. Da mesma forma, os handshakes do protocolo SOCKS têm assinaturas distintas.

Monitoramento de consultas DNS

A menos que o serviço de proxy roteie as requisições DNS pelo próprio proxy, seu ISP consegue ver suas consultas DNS. Se o seu dispositivo consulta example.com mas em seguida estabelece uma conexão com um IP de proxy conhecido, isso cria uma discrepância. Um vazamento de DNS ocorre quando as requisições DNS driblam o proxy e vão direto aos servidores DNS do seu ISP, revelando suas reais intenções de navegação.

Para verificar vazamentos de DNS, você pode usar ferramentas de linha de comando:

# No Linux/macOS, isto consulta um resolvedor DNS externo para descobrir seu IP público.
dig +short resolver1.opendns.com myip.opendns.com @resolver1.opendns.com

Se o IP retornado pelo dig for igual ao IP atribuído pelo seu ISP enquanto você acredita estar usando um proxy, há um vazamento de DNS.

Tipos de proxy e visibilidade

O nível de visibilidade para o seu ISP varia conforme o tipo de protocolo de proxy e o uso ou não de criptografia.

Proxies HTTP/HTTPS

• Proxies HTTP: são altamente detectáveis. Seu ISP vê a conexão com o servidor proxy e, como o tráfego HTTP não é criptografado, também os sites específicos que você visita pelo proxy.
• Proxies HTTPS: embora a conexão inicial com o servidor proxy seja visível e o método CONNECT possa ser identificado, a troca de dados entre o navegador e o site de destino é criptografada com TLS. Seu ISP sabe que você está se conectando a um proxy e que há tráfego criptografado, mas não consegue decifrar o conteúdo.

Proxies SOCKS

Proxies SOCKS (Socket Secure) são mais versáteis que os proxies HTTP. Por padrão, SOCKS4 e SOCKS5 não criptografam o tráfego. Seu ISP consegue detectar o handshake do protocolo SOCKS e ver qualquer dado não criptografado que passe por ele. Se o SOCKS5 for usado junto com um túnel criptografado (por exemplo, SSH ou TLS), o conteúdo se torna opaco para o ISP.

Redes privadas virtuais (VPNs)

VPNs são, essencialmente, proxies avançados e criptografados que tunelam todo o seu tráfego de rede. Da perspectiva do ISP, uma conexão VPN aparece como um fluxo contínuo de dados criptografados para um único endereço IP (o servidor VPN). Embora o ISP saiba que você está conectado a um servidor VPN, ele não consegue decifrar o conteúdo do seu tráfego nem os sites específicos que você visita. Muitos serviços de VPN também empregam técnicas de ofuscação para fazer o tráfego VPN parecer tráfego HTTPS comum, reduzindo ainda mais a detectabilidade por DPI.

Túneis SSH

Um túnel SSH cria uma conexão criptografada entre a sua máquina local e um servidor remoto. Você pode então rotear o tráfego de outras aplicações por esse túnel criptografado. Seu ISP verá tráfego SSH padrão (normalmente na porta 22) entre o seu dispositivo e o servidor SSH. Ele não consegue ver quais dados estão sendo tunelados dentro da conexão SSH.

O que seu ISP pode fazer

Ao detectar o uso de proxy, as ações do ISP variam conforme seus termos de serviço, a legislação local e a intenção específica do uso do proxy.

• Throttling: o ISP pode reduzir intencionalmente a velocidade da sua conexão com endereços IP conhecidos de servidores proxy ou VPN.
• Bloqueio: pode bloquear o acesso a endereços IP ou portas específicas de servidores proxy. Isso é comum em ambientes de rede restritivos ou em determinados países.
• Avisos/suspensão: nos casos em que o uso de proxy viola os Termos de Serviço do ISP (por exemplo, para atividades ilegais ou para driblar restrições de conteúdo que ele aplica), o ISP pode emitir avisos ou suspender o serviço.
• Nenhuma ação: em muitas jurisdições, usar um proxy ou VPN é perfeitamente legal, e os ISPs podem não tomar nenhuma medida além do registro normal de tráfego.

Como reduzir a detectabilidade do proxy

Embora a invisibilidade completa seja difícil, várias medidas reduzem a chance de o seu ISP identificar especificamente seu tráfego como uso de proxy.

Use protocolos criptografados

Prefira sempre proxies com suporte a criptografia, ou faça a conexão do proxy passar por uma camada criptografada.
* Proxies HTTPS: garantem que o conteúdo dos dados seja criptografado.
* SOCKS5 com TLS/SSH: use um proxy SOCKS5 sobre um túnel SSH (ssh -D 8080 user@remote_server) ou uma conexão criptografada com TLS.
* VPNs: por design, VPNs criptografam todo o tráfego. Muitas oferecem recursos de ofuscação (por exemplo, protocolos "stealth VPN") que tornam o tráfego VPN mais difícil de distinguir do tráfego comum de internet.

Roteie todo o tráfego pelo proxy

Garanta que todo o tráfego de rede, inclusive as requisições DNS, passe pelo proxy. Isso evita vazamentos de DNS e outros sinais reveladores. Para proxies SOCKS, configure sua aplicação ou o sistema para usar o proxy SOCKS em todas as conexões. Para VPNs, esse é o comportamento padrão.

Use portas fora do padrão

Portas de proxy comuns como 8080, 3128 ou 1080 são facilmente identificáveis; usar portas menos comuns (por exemplo, 443 para um túnel SSH ou OpenVPN, imitando tráfego HTTPS) dificulta a detecção por varredura simples de portas. O DPI ainda pode analisar assinaturas de protocolo, mas isso acrescenta uma camada de obscuridade.

Escolha provedores confiáveis

Um serviço de proxy ou VPN bem mantido, de um provedor confiável, tende a implementar medidas de segurança robustas, criptografia forte e, possivelmente, técnicas de ofuscação que dificultam a detecção. Esses provedores costumam usar endereços IP rotativos e uma grande infraestrutura de servidores, o que torna mais difícil para os ISPs bloquear IPs específicos.

Evite IPs sabidamente em blacklist

Alguns endereços IP de proxies públicos são amplamente conhecidos e estão em listas negras de ISPs ou provedores de conteúdo. Usar IPs de proxy privados e dedicados ou serviços de VPN confiáveis ajuda a evitar essas listas.