搜索

[12522] 2018-03-29_仍有20%的VPN服务商未解决WebRTC漏洞泄露IP问题

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2018-03-29_仍有20%的VPN服务商未解决WebRTC漏洞泄露IP问题 仍 有 2 0 % 的 V P N 服 务 商 未 解 决 W e b R T C 漏 洞 泄 露 I P 问 题 E l a i n e _ z   F r e e B u f   2 0 1 8 - 0 3 - 2 9 其 实 自 其 实 自   2 0 1 5   年 年   1   月 开 始 ， 大 约 有 月 开 始 ， 大 约 有   2 0 %   的 的   V P N   方 案 提 供 商 会 因 为 方 案 提 供 商 会 因 为   W e b R T C   漏 洞 泄 漏 用 户 漏 洞 泄 漏 用 户   I P   。 但 这 个 问 题 。 但 这 个 问 题 几 遍 在 今 天 ， 一 些 几 遍 在 今 天 ， 一 些   V P N   厂 商 也 并 没 有 对 此 作 出 改 进 。 厂 商 也 并 没 有 对 此 作 出 改 进 。 这 个 问 题 是 由 安 全 研 究 员   P a o l o   S t a g n o   （ V o i d S e c ） 发 现 ， 他 对   8 3   款 V P N 应 用 程 序 进 行 了 安 全 审 计 测 试 ， 发 现 了 旧 版 本 的   W e b R T C   I P   泄 漏 问 题 。 S t a g n o   表 示 在 他 的 调 查 过 程 中 有   1 7   款   V P N   会 通 过 网 页 浏 览 器 直 接 泄 漏 用 户 的 I P 地 址 。 具 体 的 研 究 成 果 已 经 公 开 在   G o o g l e   D o c   在 线 文 档 中 。 但 S t a n g n o   表 示 ， 自 己 的 工 作 并 不 是 最 完 整 的 版 本 ， 因 为 他 没 有 财 力 对 所 有 的 商 用 V P N   服 务 进 行 测 试 。 V P N   安 全 测 试 地 址 安 全 测 试 地 址 即 便 如 此 ， 目 前 这 项   V P N   安 全 测 试 计 划 仍 在 发 展 。 研 究 员   S t a g n o   正 在 社 区 中 呼 吁 其 他 的 安 全 研 究 员 对 自 己 使 用 的   V P N   客 户 端 进 行 测 试 ， 并 将 安 全 测 试 的 结 果 分 享 出 来 。 他 制 作 了 一 个   D e m o   测 试 网 页   （ h t t p s : / / i p . v o i d s e c . c o m ） 用 于 浏 览 器 环 境 的 V P N 测 试 。 同 时 在   G i t H u b （ h t t p s : / / g i t h u b . c o m / V o i d S e c / W e b R T C - L e a k ）   也 有 公 开 测 试 代 码 ， 如 果 用 户 想 要 进 行 本 地 测 试 也 可 以 自 行 下 载 。 * 如 发 现 问 题 ， 大 家 也 可 以 将 测 试 结 果 评 论 在 汇 总 文 档 中 ： 如 发 现 问 题 ， 大 家 也 可 以 将 测 试 结 果 评 论 在 汇 总 文 档 中 ： h t t p s : / / d o c s . g o o g l e . c o m / s p r e a d s h e e t s / d / 1 N m 7 m x f F v m d n - 3 A z - B t E 5 O 0 B I d b J i I A W U n k o A F _ v _ 0 u g / e d i t # g i d = 0
自 自   2 0 1 5   年 开 始 出 现 的 年 开 始 出 现 的   W e b R T C   问 题 问 题 早 在 在   2 0 1 5   年 ， 安 全 研 究 员   D a n i e l   R o e s l e r   发 现 了   W e b R T C   漏 洞 。   当 时 他 发 现 如 果 客 户 端 是 基 于   N A T   ， 代 理 或   V P N   的 ， W e b R T C   S T U N   服 务 器 在   W e b R T C   连 接 时 会 保 留 用 户 公 网 以 及 私 网   I P   。 S T U N   服 务 器 会 将 这 些 数 据 泄 漏 给 那 些 已 经 与 用 户 浏 览 器 进 行 了   W e b R T C   连 接 的 站 点 。 该 漏 洞 出 现 之 后 ， 许 多 广 告 商 以 及 执 法 机 构 都 会 使 用   W e b R T C   漏 洞 来 获 取 网 站 访 客 的 I P 地 址 。 多 数 浏 览 器 默 认 开 启 多 数 浏 览 器 默 认 开 启 W e b R T C 多 年 以 来 ， 浏 览 器 们 一 直 绞 尽 脑 汁 才 将   W e b R T C   集 成 到 他 们 的 代 码 之 中 。 但 为 了 应 对 这 个 漏 洞 ， 浏 览 器 都 推 出 了 可 以 防 止 I P 泄 漏 的 官 方 插 件 ， 以 削 弱 部 分 实 时 通 讯 功 能 为 代 价 ， 换 取 安 全 性 。 但 即 便 如 此 ， 除 了 但 即 便 如 此 ， 除 了 T o r ， ， E d g e 和 和 I n t e r n e t   E x p l o r e r 之 外 ， 多 数 浏 览 器 都 是 默 认 开 启 之 外 ， 多 数 浏 览 器 都 是 默 认 开 启   W e b R T C   的 状 态 。 的 状 态 。 以 下 是   S t a g n o   发 现 的 受 到 I P 泄 漏 影 响   V P N 提 供 商 列 表 ， 详 细 信 息 可 以 参 阅   S t a g n o   的   G o o g l e   文 档 （ h t t p s : / / d o c s . g o o g l e . c o m / s p r e a d s h e e t s / d / 1 N m 7 m x f F v m d n - 3 A z - B t E 5 O 0 B I d b J i I A W U n k o A F _ v _ 0 u g / e d i t # g i d = 0 ） 。 在 其 他 的 研 究 中 ， 安 全 团 队 还 发 现   1 1 5   个   V P N   客 户 端 中 有   2 6   款 保 留 了 用 户 某 些 类 型 的 日 志 文 件 。 * 参 考 来 源 ： b l e e p i n g c o m p u t e r ， 编 译 E l a i n e ， 转 载 请 注 明 F r e e B u f . C O M B o l e h V P N   ( 仅 在 美 国 地 区 ) C h i l l G l o b a l   ( C h r o m e   及   F i r e f o x   插 件 ) G l y p e   ( 不 同 配 置 情 况 不 同 ) h i d e - m e . o r g H o l a ! V P N H o l a ! V P N   C h r o m e   扩 展 程 序 H T T P   P R O X Y   n a v i g a t i o n   i n   b r o w s e r s   t h a t   s u p p o r t   W e b   R T C I B V P N   B r o w s e r   A d d o n P H P   P r o x y p h x . p i r a t e b a y p r o x y . c o p s i p h o n 3   ( 如 果 使 用   L 2 T P / I P 并 不 泄 漏 ) P u r e V P N S m a r t H i d e   P r o x y   ( 不 同 配 置 情 况 不 同 ) S O C K S   P r o x y   o n   b r o w s e r s   w i t h   W e b   R T C   e n a b l e d S u m R a n d o   W e b   P r o x y T O R   a s   P R O X Y   o n   b r o w s e r s   w i t h   W e b   R T C   e n a b l e d W i n d s c r i b e   A d d o n s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理