Glossar
STUN
STUN ist das Protokoll, mit dem WebRTC Ihre öffentliche IP und Ihren Port durch NAT ermittelt. Es ist der Mechanismus hinter den meisten WebRTC-IP-Leaks.
Was STUN ist
Session Traversal Utilities for NAT ist ein kleines Protokoll mit einer Hauptaufgabe: einem Gerät zu sagen, wie seine eigene Adresse von außen aussieht. Ein Gerät hinter NAT kennt nur seine private Adresse, etwa 192.168.1.20. Es sendet ein kurzes UDP-Paket an einen STUN-Server im Internet; der Server antwortet mit der öffentlichen Adresse und dem Port, von denen er das Paket kommen sah. Das Gerät kennt nun seine „server-reflexive“ Adresse und kann einem Peer sagen, wohin er Verkehr senden soll.
STUN-Server sind öffentlich, kostenlos und werden von vielen Organisationen betrieben. Sie halten keinen Zustand und sehen nur die Adresse dessen, der gefragt hat.
Warum es wichtig ist
WebRTC nutzt STUN, um Verbindungskandidaten zu sammeln, bevor ein Anruf oder Datenkanal aufgebaut wird. Jede Webseite kann ein WebRTC-Verbindungsobjekt erstellen und dieses Sammeln mit wenigen Zeilen JavaScript starten, ohne Erlaubnisabfrage. Die Kandidatenliste enthält dann die öffentliche Adresse, die der STUN-Server gemeldet hat. Weicht diese Adresse von der ab, die Ihr Proxy präsentiert, hat die Seite Ihre echte Adresse erfahren — das klassische WebRTC-Leak.
Der Grund, warum ein Browser-Proxy nicht hilft: STUN läuft über UDP direkt aus dem Betriebssystem. Im Browser konfigurierte HTTP- und SOCKS-Proxys behandeln nur TCP-Verbindungen, die der Browser selbst öffnet. Ein geräteweites VPN fängt STUN-Verkehr ab, solange es alle Schnittstellen tunnelt; ein Leak trotz VPN bedeutet meist Split-Tunneling oder eine zweite aktive Schnittstelle.
So prüfen Sie es
Der WebRTC-Leak-Test führt das STUN-Kandidaten-Sammeln in Ihrem Browser aus und listet die zurückkommenden öffentlichen Adressen, wobei jede markiert wird, die von der Adresse Ihrer Verbindung abweicht. Der IP-Leak-Test enthält dieselbe Prüfung neben den DNS- und IPv6-Tests.
So beheben Sie es
WebRTC deaktivieren, ICE-Kandidaten auf die Standardroute beschränken (eine Richtlinienoption in Chromium-Browsern und das Verhalten mehrerer Datenschutz-Erweiterungen) oder einen Anti-Detect-Browser-Modus nutzen, der das STUN-Ergebnis durch die Proxy-Adresse ersetzt. SOCKS5-Proxys mit UDP-Unterstützung können STUN-Verkehr transportieren, wenn die Anwendung ihn hindurchleitet — Browser tun das nicht.
Ein häufiges Missverständnis
STUN ist keine Schwachstelle; es tut genau das, wofür es entworfen wurde. Die Preisgabe entsteht dadurch, dass jede Seite es unbemerkt auslösen darf. STUN-Server an der Firewall zu blockieren stoppt das Leak und bricht auch Videoanrufe — das ist der abzuwägende Kompromiss.