Витік WebRTC: що це таке і як перевірити свій браузер

WebRTC дозволяє браузерам проводити відеодзвінки й передавати дані напряму один одному. Щоб зʼєднати два пристрої, він збирає мережеві адреси, і сторінка може прочитати частину з них. Раніше це розкривало локальні, а іноді й справжні публічні IP-адреси навіть за VPN.

Перевірте свій браузер просто зараз

Перевіряю браузер…

Як WebRTC знаходить адреси

Щоб зʼєднати два браузери, WebRTC збирає так звані ICE-кандидати: локальну адресу пристрою в його мережі, публічну адресу, яку бачить STUN-сервер, і адреси ретрансляторів. Сторінка може створити таке зʼєднання без жодного дзвінка й прочитати кандидатів, яких видає браузер.

Витік локальної адреси

Локальна адреса на кшталт 192.168.1.23 не розкриває, де ви, але допомагає відрізнити ваш пристрій від інших за тим самим роутером і була частиною багатьох відбитків. Сучасні браузери ховають її за замовчуванням: Chrome, Edge і Firefox замінюють її випадковим іменем із закінченням .local (mDNS), а Safari не показує її без дозволу на камеру чи мікрофон.

Витік публічної адреси за VPN

Серйозніший випадок: STUN-запит іде маршрутом повз VPN-тунель і повертає вашу справжню публічну адресу. Чи станеться це, залежить від того, як налаштовано VPN. Застосунки, що пропускають увесь трафік через тунель, цього не допускають. Розширення для браузера, які продають як VPN, зазвичай є проксі лише для трафіку браузера і не покривають WebRTC, якщо не змінюють ще й політику WebRTC браузера.

Як перевірити

Перевірка SpoofLens на цій сторінці й сторінка «Мій IP» збирають кандидатів WebRTC локально, не звертаючись до жодного зовнішнього STUN-сервера. Вони показують, чи видно вашу локальну адресу, чи вона схована за mDNS, чи недоступна взагалі.

Оскільки STUN-сервер не використовується, ці сторінки перевіряють витік локальної адреси. Повний тест витоку публічної адреси потребує власного STUN-сервера й запланований у наступній версії.

Як усунути витік

Оновлюйте браузер: поточні версії ховають локальні адреси за замовчуванням.
Користуйтеся VPN-застосунком, що пропускає весь системний трафік, а не лише проксі-розширенням для браузера, і ввімкніть його захист від витоків, якщо він є.
У Firefox можна повністю вимкнути WebRTC параметром media.peerconnection.enabled = false в about:config. Відеодзвінки в браузері перестануть працювати.
У браузерах на Chromium розширення, яке задає політику обробки IP для WebRTC, може обмежити кандидатів маршрутом через проксі.

Для власників сайтів

Публічна адреса WebRTC, що відрізняється від адреси зʼєднання, - сильна ознака VPN чи проксі. Видима локальна адреса означає лише те, що браузер її не ховає. Ні те, ні інше саме по собі не означає шахрайства: багато людей користуються VPN заради приватності.

Часті запитання

Чи може WebRTC видати мій IP, коли я не на дзвінку?: Так. Будь-яка сторінка може почати збирати кандидатів без дзвінка й нічого не показуючи, тому браузери тепер ховають локальні адреси за замовчуванням.
Чи достатньо приховування через mDNS?: Для локальних адрес здебільшого так. Від витоку публічної адреси через VPN, який покриває не весь трафік, воно не захищає.
SpoofLens звертається до STUN-сервера?: Ні. Перевірка не виходить за межі вашого браузера й нашого власного сервера, тому наші сторінки й працюють під суворою політикою Content Security Policy.