Глосарій
STUN
STUN — протокол, яким WebRTC дізнається вашу публічну IP-адресу та порт через NAT. Саме цей механізм стоїть за більшістю витоків IP через WebRTC.
Що таке STUN
Session Traversal Utilities for NAT — невеликий протокол з одним головним завданням: сказати пристрою, як його власна адреса виглядає зовні. Пристрій за NAT знає лише свою приватну адресу, наприклад 192.168.1.20. Він надсилає короткий UDP-пакет на STUN-сервер в інтернеті; сервер відповідає публічною адресою та портом, з яких він побачив пакет. Тепер пристрій знає свою «server-reflexive» адресу і може сказати співрозмовнику, куди надсилати трафік.
STUN-сервери публічні, безплатні, їх тримають багато організацій. Вони не зберігають стану й бачать лише адресу того, хто запитав.
Чому це важливо
WebRTC використовує STUN, щоб зібрати кандидатів з’єднання перед встановленням дзвінка або каналу даних. Будь-яка вебсторінка може створити об’єкт WebRTC-з’єднання і запустити це збирання кількома рядками JavaScript без жодного запиту дозволу. Перелік кандидатів тоді містить публічну адресу, яку повідомив STUN-сервер. Якщо ця адреса відрізняється від тієї, яку показує ваш проксі, сторінка дізналася вашу справжню адресу — це класичний витік WebRTC.
Браузерний проксі не допомагає, бо STUN працює через UDP безпосередньо з операційної системи. HTTP- і SOCKS-проксі, налаштовані в браузері, обробляють лише TCP-з’єднання, які відкриває сам браузер. VPN на весь пристрій перехоплює STUN-трафік, якщо тунелює всі інтерфейси; витік через VPN зазвичай означає роздільне тунелювання або другий активний інтерфейс.
Як перевірити
Тест на витік WebRTC виконує збирання STUN-кандидатів у вашому браузері й перелічує публічні адреси, які повертаються, позначаючи ті, що відрізняються від адреси вашого з’єднання. Тест на витік IP містить ту саму перевірку поряд із тестами DNS та IPv6.
Як виправити
Вимкніть WebRTC, обмежте ICE-кандидатів маршрутом за замовчуванням (опція політики в браузерах на Chromium і поведінка кількох розширень для приватності) або скористайтеся режимом антидетект-браузера, який замінює результат STUN на адресу проксі. SOCKS5-проксі з підтримкою UDP можуть переносити STUN-трафік, якщо застосунок пропускає його через них, але браузери цього не роблять.
Поширена хибна думка
STUN — не вразливість; він робить саме те, для чого створений. Ризик у тому, що будь-яка сторінка може запустити його мовчки. Блокування STUN-серверів на брандмауері зупиняє витік і водночас ламає відеодзвінки — ось компроміс, який варто зважити.