Onderzoeker: Proxies en vpn's lekken ip-adres via WebRTC
Verschillende proxies en vpn's lekken het ip-adres van gebruikers via WebRTC, zo waarschuwt beveiligingsonderzoeker Paolo Stagno. WebRTC is een door Google ontwikkeld opensourceproject dat browsers van Real-Time Communicatie (RTC) voorziet, zoals online video.
Zowel Firefox, Chrome, Opera als Vivaldi hebben WebRTC geïmplementeerd. De technologie kan zogeheten "STUN requests" naar STUN-servers versturen. Via deze requests kunnen de lokale en publieke ip-adressen van de gebruiker via JavaScript worden opgevangen. Dit is vooral een probleem voor vpn-gebruikers, die vpn's vaak gebruiken om hun identiteit te beschermen. De enige vereiste om gebruikers te de-anonimiseren is dat de browser WebRTC en JavaScript ondersteunt.
Stagno ontwikkelde een tool om te kijken of proxies en vpn's via WebRTC het ip-adres van gebruikers lekken. Van de 70 vpn's en proxies die de onderzoeker testte bleken er 16 (23 procent) het ip-adres te lekken. Het gaat onder andere om PureVPN en Hola!VPN. Via deze website kunnen gebruikers zelf kijken of hun vpn of proxy het ip-adres lekt.
Internetgebruikers die tijdens het browsen anoniem willen blijven krijgen het advies om WebRTC, JavaScript en Canvas Rendering uit te schakelen, dns-fallback in te schakelen, cache, geschiedenis en cookies te verwijderen en voor het opzetten van de vpn-verbinding te controleren dat de browser niet draait. Dat het ip-adres via WebRTC kan lekken is al langer bekend. In 2015 ontwikkelde Google de WebRTC Network Limiter om gebruikers te beschermen.
How to disable WebRTC in Firefox?
In short: Set "media.peerconnection.enabled" to "false" in "about:config".
Explained:
Enter "about:config" in the firefox address bar and press enter.
Press the button "I'll be careful, I promise!"
Search for "media.peerconnection.enabled"
Double click the entry, the column "Value" should now be "false"
Done. Do the WebRTC leak test again.
If you want to make sure every single WebRTC related setting is really disabled change these settings:
media.peerconnection.turn.disable = true
media.peerconnection.use_document_iceservers = false
media.peerconnection.video.enabled = false
media.peerconnection.identity.timeout = 1
Now you can be 100% sure WebRTC is disabled.
Bron: https://www.privacytools.io/#webrtc
Doe je voordeel ermee !
Goede website hiervoor is: https://www.dnsleaktest.com/ en voor meerdere tests: https://www.grc.com/dns/dns.htm
Je zult verbaasd staan......
Goh, wat een onderzoek, gan naar https://browserleaks.com/webrtc en je weet of je IP adressen lekt en wat je er tegen kunt doen.
Like _duh_ . Inderdaad , daar is WebRTC voor gebouwd .
De klacht is ook niet dat WebRTC niet werkt als je via een proxy gaat, maar juist dat het _nog steeds_ werkt als bedoeld - directe IP adressen beschikbaar maken . En dat is vervelend wanneer je een proxy of vpn gebruikt met als doel om je IP verborgen te houden.
Dat je in dat geval WebRTC functionaliteit moet opofferen zullen de gebruikers die anonimiteit wensen wel accepteren.
https://addons.mozilla.org/nl/firefox/addon/happy-bonobo-disable-webrtc/
Gr. Q
Alleen als je machine direct op een public IP zit krijg je dat te zien.
NON ISSUE. NEXT.
Hier te controleren of het zijn werk doet https://ipleak.net/
Oplossing is ook kant en klaar te downloaden.
Desgewenst nog strakker op security te configureren ook.
https://www.torproject.org/projects/torbrowser.html.en
Privacy Badger - Privacy Badger Opties
en vink aan: Verhinder dat WebRTC het lokale IP adres lekt *
WebRTC kan uw lokale IP adres lekken.
Privacy Badger's standaard instelling setting helpt U te beschermen, maar voor extra veiligheid kunt U deze optie activeren.
De prestatie van sommige tools, zoals Google Hangout kan hierdoor verminderen.
Alleen als je machine direct op een public IP zit krijg je dat te zien.
NON ISSUE. NEXT.
A little knowledge is a dangerous thing.
Het artikel zegt zelfs dat een STUN server gebruikt wordt . Dat is precies bedoeld voor een applicatie achter NAT om zijn uitgaande IP adres op te zoeken zodat.
https://en.wikipedia.org/wiki/STUN
Nuttig om NAT-state op te zetten en teruggaand te gebruiken door een router.
De browser kan dus zowel publiek als intern IP adres op zoeken, en dat lekken. (mn wanneer het publieke adres het 'echte' adres is en niet dat van het VPN breakout ).
ACTUAL ISSUE. DO NOT PASS GO . Do not collect $200 .
- Dephormation
- Change referer button
- Encrypted web
- Disconnect
- No-Script.
en nog een paar..
Als ik DNS of WEBRTC of CANVAS FINGERPRINTING of andere javascript zooi test dan werkt alles redelijk goed, en heb weinig problemen buiten dat het laden iets langzamer gaat als gebruikelijk bij FF of bare palemoon.
Palemoon blokkeert zowieso standaard WebRTC in de code.
Gisteren kwam er nog een update uit, en wordt regelmatig bijgehouden. Misschien heeft het niet zo'n grote naamsbekendheid maar ze doen niets onder aan FF.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
