Onderzoeker: Proxies en vpn's lekken ip-adres via WebRTC
Verschillende proxies en vpn's lekken het ip-adres van gebruikers via WebRTC, zo waarschuwt beveiligingsonderzoeker Paolo Stagno. WebRTC is een door Google ontwikkeld opensourceproject dat browsers van Real-Time Communicatie (RTC) voorziet, zoals online video.
Zowel Firefox, Chrome, Opera als Vivaldi hebben WebRTC geïmplementeerd. De technologie kan zogeheten "STUN requests" naar STUN-servers versturen. Via deze requests kunnen de lokale en publieke ip-adressen van de gebruiker via JavaScript worden opgevangen. Dit is vooral een probleem voor vpn-gebruikers, die vpn's vaak gebruiken om hun identiteit te beschermen. De enige vereiste om gebruikers te de-anonimiseren is dat de browser WebRTC en JavaScript ondersteunt.
Stagno ontwikkelde een tool om te kijken of proxies en vpn's via WebRTC het ip-adres van gebruikers lekken. Van de 70 vpn's en proxies die de onderzoeker testte bleken er 16 (23 procent) het ip-adres te lekken. Het gaat onder andere om PureVPN en Hola!VPN. Via deze website kunnen gebruikers zelf kijken of hun vpn of proxy het ip-adres lekt.
Internetgebruikers die tijdens het browsen anoniem willen blijven krijgen het advies om WebRTC, JavaScript en Canvas Rendering uit te schakelen, dns-fallback in te schakelen, cache, geschiedenis en cookies te verwijderen en voor het opzetten van de vpn-verbinding te controleren dat de browser niet draait. Dat het ip-adres via WebRTC kan lekken is al langer bekend. In 2015 ontwikkelde Google de WebRTC Network Limiter om gebruikers te beschermen.
How to disable WebRTC in Firefox?
In short: Set "media.peerconnection.enabled" to "false" in "about:config".
Explained:
Enter "about:config" in the firefox address bar and press enter.
Press the button "I'll be careful, I promise!"
Search for "media.peerconnection.enabled"
Double click the entry, the column "Value" should now be "false"
Done. Do the WebRTC leak test again.
If you want to make sure every single WebRTC related setting is really disabled change these settings:
media.peerconnection.turn.disable = true
media.peerconnection.use_document_iceservers = false
media.peerconnection.video.enabled = false
media.peerconnection.identity.timeout = 1
Now you can be 100% sure WebRTC is disabled.
Bron: https://www.privacytools.io/#webrtc
Doe je voordeel ermee !
Goede website hiervoor is: https://www.dnsleaktest.com/ en voor meerdere tests: https://www.grc.com/dns/dns.htm
Je zult verbaasd staan......
Goh, wat een onderzoek, gan naar https://browserleaks.com/webrtc en je weet of je IP adressen lekt en wat je er tegen kunt doen.
Like _duh_ . Inderdaad , daar is WebRTC voor gebouwd .
De klacht is ook niet dat WebRTC niet werkt als je via een proxy gaat, maar juist dat het _nog steeds_ werkt als bedoeld - directe IP adressen beschikbaar maken . En dat is vervelend wanneer je een proxy of vpn gebruikt met als doel om je IP verborgen te houden.
Dat je in dat geval WebRTC functionaliteit moet opofferen zullen de gebruikers die anonimiteit wensen wel accepteren.
https://addons.mozilla.org/nl/firefox/addon/happy-bonobo-disable-webrtc/
Gr. Q
Alleen als je machine direct op een public IP zit krijg je dat te zien.
NON ISSUE. NEXT.
Hier te controleren of het zijn werk doet https://ipleak.net/
Oplossing is ook kant en klaar te downloaden.
Desgewenst nog strakker op security te configureren ook.
https://www.torproject.org/projects/torbrowser.html.en
Privacy Badger - Privacy Badger Opties
en vink aan: Verhinder dat WebRTC het lokale IP adres lekt *
WebRTC kan uw lokale IP adres lekken.
Privacy Badger's standaard instelling setting helpt U te beschermen, maar voor extra veiligheid kunt U deze optie activeren.
De prestatie van sommige tools, zoals Google Hangout kan hierdoor verminderen.
Alleen als je machine direct op een public IP zit krijg je dat te zien.
NON ISSUE. NEXT.
A little knowledge is a dangerous thing.
Het artikel zegt zelfs dat een STUN server gebruikt wordt . Dat is precies bedoeld voor een applicatie achter NAT om zijn uitgaande IP adres op te zoeken zodat.
https://en.wikipedia.org/wiki/STUN
Nuttig om NAT-state op te zetten en teruggaand te gebruiken door een router.
De browser kan dus zowel publiek als intern IP adres op zoeken, en dat lekken. (mn wanneer het publieke adres het 'echte' adres is en niet dat van het VPN breakout ).
ACTUAL ISSUE. DO NOT PASS GO . Do not collect $200 .
- Dephormation
- Change referer button
- Encrypted web
- Disconnect
- No-Script.
en nog een paar..
Als ik DNS of WEBRTC of CANVAS FINGERPRINTING of andere javascript zooi test dan werkt alles redelijk goed, en heb weinig problemen buiten dat het laden iets langzamer gaat als gebruikelijk bij FF of bare palemoon.
Palemoon blokkeert zowieso standaard WebRTC in de code.
Gisteren kwam er nog een update uit, en wordt regelmatig bijgehouden. Misschien heeft het niet zo'n grote naamsbekendheid maar ze doen niets onder aan FF.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
