A principios de 2015, los navegadores Chrome y Firefox introdujeron una nueva "característica" llamada WebRTC. Sin embargo, de manera alarmante, permite que los sitios web detecten su dirección IP real, incluso cuando usa una VPN!

¿Qué es WebRTC??

La comunicación web en tiempo real (WebRTC) es un estándar potencialmente útil que permite a los navegadores incorporar funciones como llamadas de voz, chat de video y uso compartido de archivos P2P directamente en el navegador.

Un buen ejemplo de esto es el nuevo cliente de chat y video Firefox Hello que le permite hablar de manera segura con cualquier otra persona que use un navegador actualizado de Firefox, Chrome u Opera, sin la necesidad de descargar ningún complemento o configurar ningún nueva configuración.

Entonces, cuál es el problema?

Desafortunadamente para los usuarios de VPN, WebRTC permite que un sitio web (u otros servicios de WebRTC) detecte directamente la verdadera dirección IP de su máquina host, independientemente de si está utilizando un servidor proxy o VPN.

Como creadores de https://diafygi.github.io/webrtc-ips/, una herramienta que detecta si su navegador es vulnerable a una fuga de WebRTC, explique,

“Firefox y Chrome han implementado WebRTC que permite que se realicen solicitudes a servidores STUN que devolverán las direcciones IP locales y públicas para el usuario. Estos resultados de solicitud están disponibles para javascript, por lo que ahora puede obtener las direcciones IP públicas y locales de un usuario en javascript. Esta demostración es un ejemplo de implementación de ese.

Además, estas solicitudes STUN se realizan fuera del procedimiento XMLHttpRequest normal, por lo que no son visibles en la consola del desarrollador ni pueden ser bloqueadas por complementos como AdBlockPlus o Ghostery. Esto hace que este tipo de solicitudes estén disponibles para el seguimiento en línea si un anunciante configura un servidor STUN con un dominio comodín ".

El navegador Opera, que usa el mismo código WebKit que alimenta a Chrome, también se ve afectado por el problema, pero Internet Explorer y Safari, que no son compatibles con WebRTC, no lo son. Actualización: parece que las versiones más nuevas del navegador Android de stock implementan WebRTC, por lo que deben evitarse.

¿Estoy afectado?

Puede probar si su navegador está filtrando su verdadera dirección IP a través de WebRTC visitando ipleak.net.

Aquí podemos ver claramente que tengo una fuga de WebRTC. El sitio web puede ver la dirección IP de mi servidor VPN, pero también puede ver la dirección IP local real (Reino Unido). Malo!

Si ha deshabilitado WebRTC en su navegador (o está usando un navegador que no cuenta con "WebRTC"), verá este mensaje.!

También puede ver algo como esto, lo que significa que su navegador es vulnerable al "error" de WebRTC, pero que su servicio VPN ha solucionado el problema y está enrutando las solicitudes de STUN de WebRTC a través de sus servidores. Bravo!

Aunque es genial que algunos proveedores de VPN (como AirVPN) hayan tomado medidas para corregir el "error" de WebRTC, debe enfatizarse que, fundamentalmente, el problema radica en la API de WebRTC, junto con el hecho de que está habilitada de forma predeterminada dentro de los navegadores afectados.

Por lo tanto, no es realmente culpa de los proveedores de VPN, aunque nos encantaría ver a más de ellos enfrentarse al desafío de ayudar a sus clientes (que en gran medida desconocen el problema) a que su privacidad se vea comprometida por este problema..

¿Cuáles son las soluciones??

Firefox

1. La solución más simple al problema es simplemente deshabilitar WebRTC. En Firefox se puede hacer fácilmente de forma manual en la configuración avanzada:

un tipo 'acerca de: config ' en la barra de URL (y haga clic en "¡Tendré cuidado, lo prometo!")
b) Busque ‘media.peerconnection.enabled’
c) Haga doble clic en la entrada para cambiar el Valor a ‘falso'

Este método también funciona en versiones móviles de Firefox (Android / iOS)

2. Instale el complemento Deshabilitar WebRTC. La extensión del navegador uBlock Origin también evita que WebRTC filtre su dirección IP local en el escritorio (todos estos complementos también en versiones móviles de Firefox).

En uBlock Origin, vaya a Menú -> Complementos -> Origen de uBlock -> Opciones -> Mostrar panel para deshabilitar WebRTC

3. Una opción más nuclear es usar el complemento NoScript. Esta es una herramienta extremadamente poderosa, y es la mejor manera de mantener su navegador a salvo de una gran cantidad de amenazas (incluido WebTRC), pero muchos sitios web no jugarán con NoScript, y requiere un poco de conocimiento técnico para configurar y Ajústalo para que funcione de la manera que quieras.

Es fácil agregar excepciones a una lista blanca, pero incluso esto requiere cierta comprensión de los riesgos que podrían estar involucrados. No es para el usuario casual en ese momento, sino para los usuarios avanzados que conocen la Web, NoScript es difícil de superar (de hecho, incluso con todas las funciones desactivadas, NoScript proporciona algunas protecciones útiles de todos modos). NoScript funciona en versiones de escritorio de Firefox solamente.

4. Como he señalado, WebRTC puede ser realmente útil, por lo que para un enfoque más matizado puede instalar el complemento legal. Esto le permite decidir, sitio por sitio, si desea permitir una conexión WebRTC. Solo escritorio.

El complemento legal bloquea WebRTC de forma predeterminada, pero le permite incluir sitios en la lista blanca agregándolos a esta lista

Tenga en cuenta que el navegador Tor (que se basa en Firefox) deshabilita WebRTC de forma predeterminada.

Cromo

1. La extensión del navegador uBlock Origin también está disponible para Chrome (y funciona para Opera).

2. La extensión del navegador WebRTC Network Limiter evitará fugas de IP sin deshabilitar completamente la funcionalidad de WebRTC (esta es una extensión oficial de Google).

3. En Android, puede deshabilitar manualmente WebRTC en Chrome utilizando el siguiente método:

Tipo Chrome: // banderas en la barra de búsqueda y desplácese hacia abajo hasta desplazarse hacia abajo hasta que vea "Encabezado de origen WebRTC STUN". Deshabilita esto. También hay algunas opciones de decodificación de video de WebRTC, pero no debería necesitar deshabilitarlas para evitar fugas de IP de WebRTC (aunque si te hace sentir mejor, ¡adelante!).

Ópera

En teoría, Opera puede usar extensiones regulares de Chrome, pero en su mayoría no pueden bloquear las filtraciones de IP de WebRTC. El único método que conozco que funciona es usar la extensión WebRTC Leak Prevent, pero solo si usted:

1. Ir al menú -> Extensiones -> Administrar extensiones WebRTC Prevenir fugas -> Opciones
2. Conjunto "Política de manejo de IP" para: Deshabilitar UDP no proxy (forzar proxy) y marcar ambas opciones en "Legado".

3. Hit "Aplicar configuraciones".

Conclusión

El "error" de WebRTC es peligroso para los usuarios de VPN, ya que puede revelar su verdadera dirección IP (¡negando así el punto de usar una VPN!)

Aunque no es realmente su culpa, sería genial, sin embargo, si más proveedores pudieran abordar el problema para proteger a sus usuarios, la mayoría de los cuales desconocen por completo esta amenaza..

Mientras tanto, al menos una vez que sea consciente del problema, se puede solucionar fácilmente.