Was ist der WebRTC-VPN-„Fehler“ und wie kann er behoben werden?

Anfang 2015 haben sowohl der Chrome- als auch der Firefox-Browser ein neues „Feature“ namens WebRTC eingeführt. Ziemlich alarmierenderweise ermöglicht es jedoch Websites, Ihre echte IP-Adresse zu erkennen, selbst wenn Sie ein VPN verwenden!

Was ist WebRTC?

Web Real-Time Communication (WebRTC) ist ein potenziell nützlicher Standard, der es Browsern ermöglicht, Funktionen wie Sprachanrufe, Video-Chat und P2P-Dateifreigabe direkt in den Browser zu integrieren.

Ein gutes Beispiel dafür ist der neue Video- und Chat-Client Firefox Hello, mit dem Sie mit einem aktuellen Firefox-, Chrome- oder Opera-Browser sicher mit anderen sprechen können, ohne dass Sie ein Add-on herunterladen oder konfigurieren müssen neue Einstellungen.

Also, was ist das Problem?

Unglücklicherweise für VPN-Benutzer ermöglicht WebRTC einer Website (oder anderen WebRTC-Diensten), die wahre IP-Adresse Ihres Host-Computers direkt zu erkennen, unabhängig davon, ob Sie einen Proxy-Server oder ein VPN verwenden.

Wie die Macher von https://diafygi.github.io/webrtc-ips/, einem Tool, das erkennt, ob Ihr Browser anfällig für ein WebRTC-Leck ist, erklären,

Firefox und Chrome haben WebRTC implementiert, das Anfragen an STUN-Server ermöglicht, die die lokalen und öffentlichen IP-Adressen für den Benutzer zurückgeben. Diese Anfrageergebnisse sind für Javascript verfügbar, sodass Sie jetzt die lokalen und öffentlichen IP-Adressen eines Benutzers in Javascript abrufen können. Diese Demo ist eine Beispielimplementierung davon.

Darüber hinaus werden diese STUN-Anforderungen außerhalb des normalen XMLHttpRequest-Verfahrens gestellt, sodass sie in der Entwicklerkonsole nicht sichtbar sind oder von Plugins wie AdBlockPlus oder Ghostery blockiert werden können. Dadurch werden solche Anfragen für das Online-Tracking verfügbar, wenn ein Werbetreibender einen STUN-Server mit einer Wildcard-Domain einrichtet.

Der Opera-Browser, der denselben WebKit-Code verwendet, der Chrome antreibt, ist ebenfalls von dem Problem betroffen, aber Internet Explorer und Safari, die WebRTC nicht unterstützen, sind es nicht. Update: Neuere Versionen des Standard-Android-Browsers scheinen WebRTC zu implementieren und sollten daher vermieden werden.

Bin ich betroffen?

Sie können mit unserem eigenen VPN-Lecktest-Tool nach WebRTC-Lecks suchen!

WebRTC-Leck erkannt

Hier können wir deutlich sehen, dass ich ein WebRTC-Leck habe. Die Website kann die IP meines VPN-Servers sehen, kann aber auch die echte lokale (UK) IP-Adresse sehen. Schlecht!

kein Webrtc-Leck

Wenn Sie WebRTC in Ihrem Browser deaktiviert haben (oder einen Browser verwenden, der WebRTC nicht unterstützt), wird diese Meldung angezeigt. Gut!

Wenn Sie Ihr VPN ohne Deaktivierung von WebRTC getestet haben und keine Lecks auftreten, bedeutet dies, dass Ihr VPN-Dienst das Problem behoben hat und WebRTC-STUN-Anfragen über seine Server weiterleitet. Bravo!

Obwohl es großartig ist, dass einige VPN-Anbieter (wie AirVPN) Schritte unternommen haben, um den WebRTC-„Fehler“ zu beheben, sollte betont werden, dass das Problem im Wesentlichen bei der WebRTC-API liegt, zusammen mit der Tatsache, dass sie standardmäßig aktiviert ist in betroffenen Browsern.

Es ist daher nicht wirklich die Schuld der VPN-Anbieter, obwohl wir es begrüßen würden, wenn mehr von ihnen sich der Herausforderung stellen würden, ihren Kunden (die sich des Problems weitgehend nicht bewusst sind) zu helfen, ihre Privatsphäre durch dieses Problem nicht zu gefährden.

Wie behebe ich ein WebRTC-Leck?

Die Behebung von WebRTC-Lecks unterscheidet sich geringfügig je nach verwendetem Browser. Wir haben unten die Schritte aufgelistet, die Sie ausführen müssen, um dieses Problem in Firefox, Google Chrome und Opera zu beheben.

So beheben Sie WebRTC-Lecks in Firefox

  1. Die einfachste Lösung für das Problem besteht darin, WebRTC einfach zu deaktivieren. In Firefox geht das ganz einfach manuell in den erweiterten Einstellungen:

    eine Art ‘about:config’ in die URL-Leiste (und klicken Sie auf „Ich werde vorsichtig sein, versprochen!“)
    b) Suche nach ‘media.peerconnection.aktiviert
    c) Doppelklicken Sie auf den Eintrag, um den Wert auf „FALSCH’

    Diese Methode funktioniert auch in mobilen Versionen von Firefox (Android/iOS)

    WebRTC-Firefox-Fix

  2. Installieren Sie das Add-On „WebRTC deaktivieren“. Die uBlock Origin-Browsererweiterung verhindert auch, dass WebRTC Ihre lokale IP-Adresse auf dem Desktop preisgibt (alle diese Add-Ons auch auf mobilen Versionen von Firefox).

    webRTC6

    Gehen Sie in uBlock Origin zu Menü -> Add-ons -> uBlock Origin -> Optionen -> Dashboard anzeigen, um WebRTC zu deaktivieren

  3. Eine nuklearere Option ist die Verwendung des NoScript-Add-ons. Dies ist ein extrem mächtiges Werkzeug und ist es auch das beste Weg, um Ihren Browser vor einer ganzen Reihe von Bedrohungen (einschließlich WebTRC) zu schützen, aber viele Websites spielen mit NoScript nicht mit, und es erfordert einiges an technischem Wissen, um es so zu konfigurieren und zu optimieren, dass es so funktioniert, wie Sie es möchten .

    Es ist einfach, Ausnahmen zu einer Whitelist hinzuzufügen, aber selbst dies erfordert ein gewisses Verständnis der damit verbundenen Risiken. Nicht für den gelegentlichen Benutzer, aber für weberfahrene Power-User ist NoScript schwer zu schlagen (tatsächlich bietet NoScript selbst dann, wenn die meisten seiner Funktionen deaktiviert sind, einige nützliche Schutzmaßnahmen.) NoScript funktioniert auf Desktop-Versionen von Firefox nur.

  4. Wie ich bereits angemerkt habe, kann WebRTC tatsächlich nützlich sein, sodass Sie für einen differenzierteren Ansatz das Statutory-Add-on installieren können. Auf diese Weise können Sie auf Site-by-Site-Basis entscheiden, ob Sie eine WebRTC-Verbindung zulassen. Nur Desktop.

    Das Statutory-Add-on blockiert standardmäßig WebRTC, ermöglicht es Ihnen jedoch, Websites auf die Whitelist zu setzen, indem Sie sie zu dieser Liste hinzufügen

    WebRTC 3

    Beachten Sie, dass der Tor-Browser (der auf Firefox basiert) WebRTC standardmäßig deaktiviert.

So beheben Sie WebRTC-Lecks in Google Chrome

  1. Die uBlock Origin-Browsererweiterung ist auch für Chrome verfügbar (und funktioniert für Opera.)

  2. 2. Die Browsererweiterung WebRTC Network Limiter verhindert IP-Lecks, ohne die WebRTC-Funktionalität vollständig zu deaktivieren (dies ist eine offizielle Google-Erweiterung).

  3. 3. Unter Android können Sie WebRTC in Chrome mit der folgenden Methode manuell deaktivieren:

    Typ chrome://flags in die Suchleiste und scrollen Sie nach unten, bis Sie nach unten scrollen, bis Sie “WebRTC STUN origin header” sehen. Deaktivieren Sie dies. Es gibt auch einige WebRTC-Videodekodierungsoptionen, aber Sie sollten diese nicht deaktivieren müssen, um WebRTC-IP-Lecks zu verhindern (obwohl Sie sich dadurch besser fühlen, fahren Sie fort!).

So beheben Sie ein WebRTC-Leck in Opera

Theoretisch kann Opera normale Chrome-Erweiterungen verwenden, aber diese blockieren meist keine WebRTC-IP-Lecks. Die einzige Methode, die ich kenne tut Die Arbeit verwendet die WebRTC Leak Prevent-Erweiterung, aber nur, wenn Sie:

  1. Gehen Sie zu Menü -> Erweiterungen -> Erweiterungen verwalten WebRTC Leak Prevent -> Optionen
  2. Setzen Sie „IP-Verarbeitungsrichtlinie“ auf: Deaktivieren Sie UDP ohne Proxy (Proxy erzwingen) und aktivieren Sie beide Optionen unter „Legacy“.

Oper

3. Klicken Sie auf „Einstellungen übernehmen“.

Fazit

Der WebRTC-“Bug” ist gefährlich für VPN-Benutzer, da er Ihre wahre IP-Adresse preisgeben kann (wodurch der ganze Sinn der Verwendung eines VPN zunichte gemacht wird!)

Obwohl nicht wirklich ihre Schuld, wäre es jedoch großartig, wenn mehr Anbieter das Problem angehen könnten, um ihre Benutzer zu schützen, von denen die meisten sich dieser Bedrohung überhaupt nicht bewusst sind.

In der Zwischenzeit, zumindest wenn Sie sich des Problems bewusst sind, kann es leicht behoben werden.