מקרה דליפה 2: דליפות WebRTC

כתובות ה- IP הציבוריות שלך מהוות חלק מהזהות של האדם באינטרנט, ומאפשרות לאתרים, אפליקציות וצדדים שלישיים לעקוב אחר פעילותם ברשת ולקשר אותה לאותו אדם ספציפי. באמצעות VPN, אתרים רואים את כתובת ה- IP הציבורית של שרת ה- VPN במקום את המשתמש, ומגנים על זהותו.

עם זאת, WebRTC עשוי לעיתים לאפשר לאתרים לראות את כתובת ה- IP הציבורית של המשתמש, המייצג דליפת פגיעה בפרטיות. מקרה מקרה זה ממעבדת מחקר הפרטיות שלנו מתאר כיצד מתרחשות דליפות WebRTC וכיצד לבדוק אותם באמצעות כלי בדיקת הדליפות ExpressVPN..

סקירה של WebRTC

WebRTC היא קבוצה של טכנולוגיות פתוחות המאפשרות לדפי אינטרנט לספק תקשורת בין עמית לעמית (P2P) באמצעות דפדפן אינטרנט. מרבית הדפדפנים המודרניים תומכים כעת באופן מלא בתקן WebRTC.

WebRTC, בין היתר, מעניק לדפדפני האינטרנט אפשרות לזהות הן את כתובות ה- IP הציבוריות של המשתמש והן את כתובות ה- IP המקומיות שלהם. יכולת זו היא המפתח להקל על תקשורת P2P באמצעות דפדפני אינטרנט בלבד, ללא יישומים או תוספים נוספים.

דליפות WebRTC

דליפות WebRTC הן סוג של דליפת IP. דפי אינטרנט יכולים להשתמש בממשקי API של WebRTC של JavaScript כדי לבקש מהדפדפן את כתובות ה- IP של המכשיר. לאחר שאספו את כתובות ה- IP הללו הם יכולים לשלוח אותם לשרתיהם ולהשתמש בהם כדי לזהות מי ניגש לדף אינטרנט או שירות מסוים..

מרבית יישומי ה- VPN מגנים ביעילות מפני כתובות IPv4 המדלפות באמצעות WebRTC, עם זאת יישומי VPN רבים נוטים להתעלם מכתובות IPv6 שדולפות באותו אופן.

כיצד WebRTC מזהה כתובות IP?

WebRTC משתמש בשתי טכניקות עיקריות כדי לקבוע את כתובות ה- IP של המכשיר: שרתי STUN / TURN וגילוי מועמדים מארחים..

הלם / הפוך שרתים מגלים כתובות IP על ידי בדיקת איזו כתובת IP ציבורית משמשת לגישה אליהם. בדרך כלל אלה אינם הגורם לדליפות IP של VPN.

תגלית המועמדים המארחים זה יותר בעייתי בכל מה שקשור לדליפות WebRTC. פונקציונליות זו מאפשרת לדפדפנים לבדוק ישירות את ממשקי המערכת והרשת שלך ולראות אילו כתובות IP קשורות אליהם.

כל ממשקי הרשת הפעילים במכשיר זקוקים לכתובות IP כדי לתפקד. לדוגמה, לחיבור Wi-Fi פעיל יהיה ממשק רשת מתאים בהתקן. ממשק זה יהיה בתורו כתובת IP.

WebRTC יכול לחשוף כתובות IP אלה, שבדרך כלל לא ניתן היה לראות באופן חיצוני למכשיר, לדפי אינטרנט..

מדוע דליפות IPv6 בעייתיות?

מחסור בכתובות IPv4 – פשוט אין מספיק להסתובב! בדרך כלל, כתובות IPv4 משותפות בין אנשים. לשם כך משתמשים במערכת הנקראת NAT Address Address (NAT Address Network). מערכת זו מאפשרת למכשירים להקצות כתובות “IPv4 מקומיות” לממשקי הרשת שלהם תוך שיתוף כתובת IP ציבורית ציבורית, בדרך כלל באמצעות ספק שירותי האינטרנט. כתובות IP מקומיות אלה משמשות ברחבי העולם מיליוני מחשבים ברחבי העולם וקשה לכוון אותם לאדם ספציפי.

הבעיה עם IPv6 היא שכתובות אינן במחסור. ישנם הרבה שלהם! משמעות הדבר היא שלאנשים בודדים לרוב מוקצים כתובות IPv6 ייחודיות. כאשר כתובת IPv6 כזו מוקצה לממשק רשת, פירוש הדבר ש- WebRTC יכול לגלות כתובת IP שמזהה את מי שאתה, גם אם כתובת ה- IP הזו בדרך כלל לא נראית לעולם החיצון..

אילו סוגי דליפות יש?

ישנם שני סוגים של דליפות WebRTC, בדרגת חומרה שונה. שמשתמש עשוי להיות חשוף אליו תלוי אם הוא מעניק הרשאות ספציפיות ל- WebRTC לדף אינטרנט. בשני המקרים, VPN טוב צריך להגן מפני ההדלפות.

שים לב כי יצרני הדפדפנים עשויים להשתמש בשיטות שונות כדי ליישם WebRTC, כך שאפשר לדפדפן אחד לדלוף ואחר לא, אפילו עם אותה הגדרת מכשיר וספק VPN..

דליפות מתמשכות (אין צורך בהרשאות)

כברירת מחדל, דפי אינטרנט אינם מקבלים הרשאות WebRTC. עם זאת, עדיין ניתן לדפים לגשת לחלק מכתובות ה- IP של המשתמש באמצעות ממשקי ה- API של WebRTC. במצבים אלה, אתרים יכולים לעקוב בקלות אחר המשתמש באמצעות כתובות ה- IP שלהם ללא ידיעתם.

דליפות מפעילות (נדרשות הרשאות)

דפי אינטרנט יכולים לבקש באופן מפורש הרשאות להשתמש בפונקציונליות הקשורה ל- WebRTC. הרשאות אלה מסווגות למעשה כ- מיקרופון ו מצלמה הרשאות. הסיבה לכך היא ש- WebRTC היא טכנולוגיה המיועדת לתקשורת P2P כמו שיחות קוליות או ועידות וידיאו..

כאשר ניתנת אחת מההרשאות הללו, דף האינטרנט מקבל גישה למגוון רחב יותר של כתובות IP במכשיר, מה שמאפשר דליפה. בחלק מהדפדפנים הרשאות אלה נמשכות לאורך פעילויות באתר, כלומר אם משתמש נתן הרשאות לדף האינטרנט פעם אחת, דף האינטרנט שומר על הרשאות אלה כאשר המשתמש יחזור לדף בעתיד..

שים לב כי יש לקבל הרשאות לדפי אינטרנט נפרדים בנפרד, ולכן מתן הרשאות לאתר אחד אינו מעניק הרשאות עבור אתר אחר.

אמנם הדלפות אלה פחות חמורות מההדלפות המתמשכות לעיל, מכיוון שהן דורשות מתן הרשאות פעיל על ידי המשתמש, אנו עדיין רואים בהן חשש. WebRTC גדל בפופולריות והמשתמשים יכולים לצפות לראות יותר ויותר אתרים המשתמשים בטכנולוגיה במהלך השנים הבאות. אם VPN לא מסתיר כתובות IP כאשר משתמש מעניק הרשאות לאתר, נותרו לו רק שתי אפשרויות:

• אין להשתמש באתרים ושירותים המאפשרים WebRTC
• קבל את סיכוני האבטחה והפרטיות הכרוכים בחשיפת כתובת ה- IP שלהם

בדיקות לדליפות

ניתן לבצע בדיקות אלה בכל מחשב שולחני. בעת ביצוע בדיקות דליפה אנו ממליצים שיהיה לך IPv6 זמין במכשיר הבדיקה שלך, מכיוון שזה המצב הסביר ביותר בו ספקי VPN דולפים.

בדיקה ידנית

אתה יכול לבדוק ידנית אם מדובר בדליפות באמצעות מבחן הדליפה המקוון שלנו WebRTC.

צעדים חוזרים

• ודא שדף בדיקת הדליפה נמצא סגור
• ודא שיישום ה- VPN שלך הוא מנותק
• בקר בדף הבדיקה של WebRTC
• רשמו את כולם ציבורי כתובות IP שאתה רואה בפלט הבדיקה
  • הם יוצגו עם שלהם סטטוס בתור “דליפה אפשרית”
• סגור את דף בדיקת הדליפה
• התחבר ל- VPN שלך
• פתח מחדש את דף הבדיקה של WebRTC
• אם אתה רואה כתובות IP שרשמת לעיל לעיל, יש לך דליפה

שים לב שאנו מבקשים ממך במפורש לסגור את דף בדיקת הדליפה כדי להימנע מבעיות במטמון בדפדפן. דפדפנים רבים ישמרו כתובות IP שמזוהות באמצעות WebRTC, ולכן טעינת דף האינטרנט אינה דרך אמינה לבצע את הבדיקה..

שים לב שדף בדיקה זה בודק רק את סוג ההדלפות החמור ביותר, כלומר “הדלפים המתמידים” שנדונו לעיל. כדי לבדוק אם אתה מדליף כאשר ניתנות הרשאות לדפדפן שלך אנו ממליצים להשתמש בכלים לבדיקת דליפות למטה.

בדיקות באמצעות כלי בדיקת הדליפה של ExpressVPN

כלי בדיקת הדליפה של ExpressVPN הם חבילה ניתנת להרחבה של כלי פיתון קוד פתוח המיועדים לבדיקת דליפות ידנית וגם אוטומטית של יישומי VPN. אנא עיין במבוא הכלים שלנו להוראות על הורדת והגדרת הכלים.

לאחר שתגדיר את הכלים, וודא שאתה נמצא בספריית השורש של הכלים וביצע:

./run_tests.sh -c configs / case_studies / webrtc_leaks.py

פקודה זו תריץ שני מקרי בדיקה על פני דפדפנים מרובים. שני מקרי הבדיקה הם בעיקר אוטומציה של הצעדים הידניים שתוארו לעיל ועושים את הפעולות הבאות:

• ודא שיישום ה- VPN שנבדק אינו מנותק
• קבע את כתובות ה- IPv4 וה- IPv6 הציבוריות של המכשיר
• חבר את יישום ה- VPN
• השתמש בדף אינטרנט פשוט לבדיקת דליפות כדי לאסוף כתובות IP של WebRTC
• בדוק אם כל ה- IP הציבורי שנאסף לפני ההתחברות גלוי דרך WebRTC לאחר ההתחברות

מבחן אחד יבדוק אם מדובר בדליפות מתמשכות כאשר לא ניתנות הרשאות דפדפן, הבדיקה השנייה תבדוק אם מדובר בהדלפות בעת הרשאות הם ניתן.

הערה: באפשרותך להתאים את הדפדפנים המשמשים אותך על ידי שינוי ה- מתפרצים רשימה בסעיף webrtc_leaks.py קובץ.