Уязвимость браузеров Chrome и FireFox - ваш реальный IP может быть раскрыт даже при включенном VPN

xPerson · 4 Мар 2015

Уязвимость WebRTC позволяет раскрыть локальный IP-адрес!
Браузеры с поддержкой технологии WebRTC, включая Firefox и Chromium, допускают раскрытие локального и публичного IP адресов компьютера пользователя путём отправки специальных запросов даже при включенном VPN. Такие запросы не отображаются в консоли разработчика и не могут быть заблокированы плагинами вроде AdBlockPlus и Ghostery.

WebRTC допускает отправку запросов к STUN-серверам, которые возвращают как публичный, так и локальный IP-адрес.
Как сообщает online-издание I Programmer, поддерживаемая браузерами Firefox и Chromium технология WebRTC, которая позволяет осуществлять аудио- и видеозвонки непосредственно из браузера, имеет существенный недостаток.
Практически все внутренние сети используют приватные или локальные IP-адреса, которые не могут применяться в открытом интернете. Когда система подключается к глобальной Сети, она использует публичный IP-адрес, «видимый» для других систем. Тем не менее, WebRTC позволяет раскрыть локальный IP-адрес.
Для осуществления аудио- и видеозвонки из браузера с помощью WebRTC создается пиринговая сеть без промежуточного сервера. Для этого системам необходимо обменяться как публичными, так и локальными IP-адресами. Узнать свой публичный IP-адрес машине помогает протокол STUN. Это происходит следующим образом: система отправляет на STUN-сервер UDP-пакет, а сервер возвращает пакет, содержащий открытый IP-адрес.
WebRTC допускает отправку запросов к STUN-серверам, которые возвращают как публичный, так и локальный IP-адрес. Поскольку подобные запросы можно осуществлять с помощью скрипта, IP-адреса отображаются средствами JavaScript. При этом не используется XMLHttpRequest, и запросы не видны из консоли разработчика. Кроме того, они не поддаются блокировке с помощью AdBlockPlus, Ghostery и т.п.

Проверить ваш браузер на уязвимость можно по этой ссылке:

Чтобы видеть ссылки, необходимо зарегистрироваться.

Решение проблемы довольно простое:
Для Firefox: нужно открыть панель настроек (ввести адрес about:config) и сменить значение опции «media.peerconnection.enabled» c «true» на «false» или ставим расширение "Happy Bonobo: Disable WebRTC".

Для Chrome: Ставим расширение блокирующее WebRTC

Чтобы видеть ссылки, необходимо зарегистрироваться.

ogggi · 4 Мар 2015

я что-то делаю не так? лиса 19.0.2

Чтобы видеть изображения, необходимо зарегистрироваться.

mrgomersimpson · 4 Мар 2015

Demo такая Demo..

sse · 4 Мар 2015

Очень интересно, на этом сайте

Чтобы видеть ссылки, необходимо зарегистрироваться.

не палится, а на этом, даже при включенном расширении webrtc в гугл хроме показывает в Your public IP addresses
мой реальный айпи и айпи впн.

Creader · 4 Мар 2015

а у меня почему то вообще три показывает

Your local IP addresses:
10.8.4.1

Your public IP addresses:
100.96.22.214
37.2.129.18
83.242.11.128

bullet96 · 4 Мар 2015

ogggi написал(а):
я что-то делаю не так? лиса 19.0.2

Чтобы видеть изображения, необходимо зарегистрироваться.

то же самое ...

xPerson · 5 Мар 2015

ogggi написал(а):
я что-то делаю не так? лиса 19.0.2

Чтобы видеть изображения, необходимо зарегистрироваться.

Вы все правильно делаете, если не показывает ни каких IP, как в вашем случае, значит в вашем браузере нет данной уязвимости и вы защищены!
У кого определяет - исправляйте!

xPerson · 5 Мар 2015

Ребят, смотрите, если по ссылке у вас не показывает никаких IP - это хорошо, значит ваш браузер не подвержен данной уязвимости или она прикрыта. Если что-то показывает, то срочно фиксите, я в первом посте отписал как. Выкладываю картинку, смотрите что означают адреса:

Чтобы видеть изображения, необходимо зарегистрироваться.

AlexandrDM · 6 Мар 2015

ссылка на расширение не работает:)

mr.tinem · 6 Мар 2015

Нормально, новорег выложил чудо файл, вы поскачивали, ждите, за вами уже едут!))

Готти · 6 Мар 2015

AlexandrSell написал(а):
ссылка на расширение не работает:)

В лисе братка в поиске аддонов находит расширение и ставится)

Abrisk · 6 Мар 2015

mr.tinem написал(а):
Нормально, новорег выложил чудо файл, вы поскачивали, ждите, за вами уже едут!))

Причем здесь чудо-файл? Уязвимость реальная, лечится и руками изменением одной настройки. Аддон легко ищется в списке официальных, как правильно указал предыдущий оратор.

За нами могли ехать до исправления дыры.

Автору респект.

Creader написал(а):
а у меня почему то вообще три показывает

Your local IP addresses:
10.8.4.1

Your public IP addresses:
100.96.22.214
37.2.129.18
83.242.11.128

Как погода в Скандинавии?

Barry White · 6 Мар 2015

Баян. В Firefox для безопастности еще необходимо прописать:

Код:

Набираем в адресной строке about:config



И меняем стандартные параметры на указанные ниже



browser.startup.homepage_override.buildID 0



media.peerconnection.enabled false



geo.enabled = false



geo.wifi.uri = [leave blank]



network.http.accept.default = text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8



network.http.use-cache = false



network.http.keep-alive.timeout = 600



network.http.max-persistent-connections-per-proxy = 16



network.proxy.socks_remote_dns = true



network.cookie.lifetimePolicy = 2



network.http.sendRefererHeader = 0



network.http.sendSecureXSiteReferrer = false



network.protocol-handler.external = false [Включаем все подпарамеры в значении false]



network.protocol-handler.warn-external = true [Включаем все подпарамеры в значении true]



network.http.pipelining = true



network.http.pipelining.maxrequests = 8



network.http.proxy.keep-alive = true



network.http.proxy.pipelining = true



network.prefetch-next = false



browser.cache.disk.enable = false



browser.cache.offline.enable = false



browser.sessionstore.privacy_level = 2



browser.sessionhistory.max_entries = 2



browser.display.use_document_fonts = 0



intl.charsetmenu.browser.cache = ISO-8859-9, windows-1252, windows-1251, ISO-8859-1, UTF-8



dom.storage.enabled = false



extensions.blocklist.enabled = false

Список настроек About:config на русском языке с пояснениями(

Чтобы видеть ссылки, необходимо зарегистрироваться.

) если кому интерестно, что он делает, на столько ,что бы самому изучить

indeec · 6 Мар 2015

Версию 19.0.2 скачал, так там ничего и настраивать не надо, как выше писал Огги, все и так уже настроена и ip не светятся никакие.

Abrisk · 6 Мар 2015

indeec написал(а):
Версию 19.0.2 скачал, так там ничего и настраивать не надо, как выше писал Огги, все и так уже настроена и ip не светятся никакие.

Так ей сто лет в обед и других дыр наверное хватает, последняя лиса 36.1.

indeec · 6 Мар 2015

Abrisk написал(а):
Так ей сто лет в обед и других дыр наверное хватает, последняя лиса 36.1.

Дак а причем тут версия?:confused:

Brazilec · 6 Мар 2015

Кто какой браузер для iOS юзает?

Voogidog · 6 Мар 2015

mr.tinem написал(а):
Нормально, новорег выложил чудо файл, вы поскачивали, ждите, за вами уже едут!))

А с оперой что делать?

xPerson · 6 Мар 2015

mr.tinem написал(а):
Нормально, новорег выложил чудо файл, вы поскачивали, ждите, за вами уже едут!))

Херню не неси старичек, прежде чем набивать посты, думай что пишешь, а не тупо стучи по клавишам. Делаешь людям добро, что-то полезное для форума и тут же найдутся критики и обвинят в чем не попадя.
Во-первых, я выложил не файл, а ссылку на источник, во-вторых, прочитай про данную уязвимость в инете и все станет ясно!

Charles Bronson · 4 Мар 2016

Macally написал(а):

Баян. В Firefox для безопастности еще необходимо прописать:

Код:

Набираем в адресной строке about:config



И меняем стандартные параметры на указанные ниже



browser.startup.homepage_override.buildID 0



media.peerconnection.enabled false



geo.enabled = false



geo.wifi.uri = [leave blank]



network.http.accept.default = text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8



network.http.use-cache = false



network.http.keep-alive.timeout = 600



network.http.max-persistent-connections-per-proxy = 16



network.proxy.socks_remote_dns = true



network.cookie.lifetimePolicy = 2



network.http.sendRefererHeader = 0



network.http.sendSecureXSiteReferrer = false



network.protocol-handler.external = false [Включаем все подпарамеры в значении false]



network.protocol-handler.warn-external = true [Включаем все подпарамеры в значении true]



network.http.pipelining = true



network.http.pipelining.maxrequests = 8



network.http.proxy.keep-alive = true



network.http.proxy.pipelining = true



network.prefetch-next = false



browser.cache.disk.enable = false



browser.cache.offline.enable = false



browser.sessionstore.privacy_level = 2



browser.sessionhistory.max_entries = 2



browser.display.use_document_fonts = 0



intl.charsetmenu.browser.cache = ISO-8859-9, windows-1252, windows-1251, ISO-8859-1, UTF-8



dom.storage.enabled = false



extensions.blocklist.enabled = false

Список настроек About:config на русском языке с пояснениями(

Чтобы видеть ссылки, необходимо зарегистрироваться.

) если кому интерестно, что он делает, на столько ,что бы самому изучить

Добрый день, уважаемый!
Не нашел следующих строк в настройках:
network.http.proxy.keep-alive
intl.charsetmenu.browser.cache
network.http.use-cache
С чем это может быть связано?

СТАРЛЕЙ

«ВСЕ НОВОЕ - ЭТО ХОРОШО ЗАЛИТОЕ СТАРОГО»

Уязвимость браузеров Chrome и FireFox - ваш реальный IP может быть раскрыт даже при включенном VPN

xPerson

НЕ ПРОВЕРЕН

ogggi

mrgomersimpson

sse

НЕ ПРОВЕРЕН

Creader

bullet96

xPerson

НЕ ПРОВЕРЕН

xPerson

НЕ ПРОВЕРЕН

AlexandrDM

mr.tinem

Готти

Abrisk

Пробью все!

Barry White

indeec

Abrisk

Пробью все!

indeec

Brazilec

Voogidog

НЕ ПРОВЕРЕН

xPerson

НЕ ПРОВЕРЕН

Charles Bronson

НЕ ПРОВЕРЕН

Похожие темы