Rò rỉ WebRTC

Rò rỉ WebRTC là trường hợp một trang web biết được địa chỉ IP thật của bạn mặc dù toàn bộ lưu lượng đi qua proxy.

WebRTC là công nghệ giao tiếp trực tiếp được tích hợp sẵn trong trình duyệt: cuộc gọi, video, truyền tệp trực tiếp giữa hai trình duyệt. Để kết nối trực tiếp, trình duyệt cần biết địa chỉ của chính nó — vì vậy nó thu thập chúng bằng cách liên hệ với các máy chủ hỗ trợ (STUN). Những yêu cầu này đi vòng qua cài đặt proxy, vì nhiệm vụ của WebRTC là tìm đường đi ngắn nhất, mà proxy lại cản trở đường đi ngắn nhất đó.

Kết quả là trang web thấy hai địa chỉ: địa chỉ giả từ proxy và địa chỉ thật từ WebRTC. Một trang có thể đọc chúng chỉ bằng vài dòng mã, không cần quyền và không cần hỏi.

Vì sao nó tệ hơn vẻ ngoài của nó

Đây không phải "thêm một dòng nữa trong dấu vân tay". Đây là một mâu thuẫn trực tiếp: quốc gia được khai báo là một nơi, quốc gia thật lại là nơi khác. Chỉ một sự chênh lệch như vậy cũng đủ để liên kết các tài khoản mà bạn đang cố tách biệt, và để giải thích cho một captcha ở nơi lẽ ra không nên có.

Những gì chúng tôi phát hiện được trong thực tế

Rò rỉ chỉ được khắc phục bằng một cài đặt bên trong hồ sơ trình duyệt — cài đặt đưa WebRTC vào chế độ không tiết lộ địa chỉ cục bộ.

⚠️ Một flag dòng lệnh không giúp được gì. Điều này khiến chúng tôi phải điều tra riêng: khởi động trình duyệt với switch tương ứng trông giống như một giải pháp, nhưng thực tế không thay đổi gì cả — bài kiểm tra vẫn tiếp tục hiển thị địa chỉ thật. Chỉ có một bản ghi trong cài đặt của hồ sơ mới có tác dụng, và nó được áp dụng khi khởi động.

Kết luận thực tiễn: phải kiểm tra kết quả, không phải việc bạn đã bật một công tắc nào đó. "Chúng tôi đã đặt flag" không phải là bằng chứng; bằng chứng là một trang kiểm tra mà ở đó địa chỉ thật đã biến mất.

Có nên tắt hoàn toàn WebRTC không

Tắt hoàn toàn tự nó đã là một dấu hiệu: ở một người bình thường, WebRTC hoạt động vì các cuộc gọi video sử dụng nó. Điều đúng đắn không phải là vô hiệu hóa công nghệ này, mà là cắt quyền truy cập của nó vào các địa chỉ cục bộ — như vậy các cuộc gọi vẫn hoạt động, mà không có rò rỉ.

Cách kiểm tra

Kiểm tra rò rỉ WebRTC — miễn phí, không cần cài đặt gì. Nó hiển thị những địa chỉ mà trình duyệt của bạn tiết lộ, và liệu chúng có khớp với địa chỉ của proxy hay không.