Stun 脚本/webRTC IP 泄漏

信息安全 虚拟专用网 网络RTC
2021-08-22 13:31:04

我一直在研究webRTCstun脚本以及它们绕过 VPN 的能力。还有几个问题希望有人能帮助我。

1)由于使用 openVPN 和其他 VPN 协议/方法通常会将默认适配器设置为自身,(例如使主网络设备成为 VPN 的 TAP 适配器)stun 脚本/webRTC 脚本实际上如何泄漏真实的 IPv4 地址和其他信息默认情况下不是通过这个VPN路由吗?

2) 我了解诸如 skype 之类的程序和其他程序实现了 stun 脚本,在我看来这可能会泄露信息。是否可以在系统范围内禁用 stun/webRTC 脚本,或者至少使用 HIPS 样式系统对其进行监视和授权?这会导致任何严重的问题吗?

2个回答
  1. WebRTC 未连接到另一个适配器

    WebRTC 有一种枚举所有本地地址的方法,因此它可以使用广泛的 NAT 隧道。它不会强制连接使用任何适配器。连接本身由操作系统处理,WebRTC 不能以任何方式更改适配器。

  2. 在系统范围内禁用 STUN/WebRTC 并不容易

    WebRTC 是一种嵌入在网络浏览器中的技术,而不是在系统级别。如果需要,您可以在所有浏览器上禁用它。在系统范围内禁用 STUN 要复杂得多。每个程序都有自己的使用方式,有些可以由用户禁用,有些则不能。

您可以尝试在系统范围内禁用 UDP,但这会让您非常头疼,并且您可以预期无辜的服务会无缘无故地失败。但是您可以在虚拟机上运行可疑程序,因此即使某些程序泄漏了您的本地 IP,它也只会泄漏虚拟机使用的内部网络,例如192.168.1.10,而不是您的公共 IP。

您可以获取公共 stun 服务器列表并将它们指向 Windows 上 HOSTS 文件中的 localhost 以“全局”阻止它们。

缺点是您可能会阻止您使用的服务或站点使用的 stun 服务器。另一个缺点是 WebRTC 检测器可以使用许多您不知道的私有服务器,因此它只是一个临时修复。