The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

WebRTC позволяет узнать внутренний IP-адрес пользователя

04.02.2015 14:34

В технологии WebRTC, предоставляющей средства для аудио- и видео-коммуникаций в режиме реального времени, выявлена проблема с безопасностью, позволяющая на внешнем сайте определить внутренний IP-адрес пользователя, используемый до трансляции адресов, VPN или прокси.

Метод достаточно прост в реализации и основывается на особенностях работы механизма STUN, используемого в WebRTC для организации соединения к системе, выходящей в Сеть через транслятор адресов. Протестировать работу метода можно на данной странице, на которой будет показан текущий intranet-адрес. Метод работает в Chrome и Firefox.

Информация о внутреннем адресе, например, может использоваться злоумышленниками для определения адреса внутреннего интерфейса шлюза для проведение дальнейшей CSRF-атаки на web-интерфейс беспроводного маршрутизатора через браузер пользователя. Информация также может использоваться рекламными сетями для скрытого отслеживания перемещений пользователя по сети, так как запросы от STUN-сервера не фигурируют в web-консоли и не могут быть заблокированы такими дополнениями, как AdBlockPlus.

Дополнение: Метод оказался не нов, на возможность определения внутреннего IP через WebRTC обращали внимание ещё два года назад и данная технология уже используется в реальных сервисах.

  1. Главная ссылка к новости (http://threatpost.com/webrtc-f...)
  2. OpenNews: Неполное следование рекомендациям HTML5 WebStorage может привести к заполнению пользовательского диска
  3. OpenNews: Уязвимость в Apache открывает двери к внутренним ресурсам на другой стороне обратного прокси
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/41606-webrtc
Ключевые слова: webrtc
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (73) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Будочки (?), 14:40, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –7 +/
    С вебсокетами, наверно, еще все в разы хуже. /* набрасываю */
     
     
  • 2.16, vitalif (ok), 15:42, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    лажово набрасываешь
     

  • 1.2, soarin (?), 14:52, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –4 +/
    А в bowser? https://itunes.apple.com/us/app/bowser/id560478358?mt=8
     
     
  • 2.19, Аноним (-), 15:58, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > А в bowser? https://itunes.apple.com/us/app/bowser/id560478358?mt=8

    Ну вот ты возьми и проверь. Или ты думаешь что мы тут будем забесплатно тестировать тебе какой-то крап из яблостора?

     
  • 2.35, Аноним (-), 17:14, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Слабаки. Наши разработчики уже давно придумали браузер "интернет".
    Для большинства пользователей браузер - непонятное слово.
     

  • 1.4, Аноним (-), 14:55, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Я не устану постить эту ссылку: https://en.wikipedia.org/wiki/Ghostery

    TL;DR : по сути это троян.

     
     
  • 2.9, Аноним (-), 15:09, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Всмысле Ghostery — троян? Дак его Ghostrank по умолчанию отключен же.
     
     
  • 3.11, Аноним (-), 15:18, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    http://forum.mozilla-russia.org/viewtopic.php?pid=566877#p566877

    > Лично я не могу(!) представить такую ситуацию, когда обычному пользователю "стало бы интересно посмотреть" - что за компании исподтишка следят за ним на посещаемых им веб-страницах (да и так понятно, что почти ВСЕ следят, и такими скрытыми элементами буквально нашпигована каждая страница), да еще "узнать о них побольше", да еще и самому(!) разрешить "некоторым следить", а "некоторым - не следить".

     
     
  • 4.46, Аноним (-), 18:57, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Но Максим то за нами точно не следит.
     
     
  • 5.47, Виталя (??), 19:08, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Но Максим то за нами точно не следит.

    Зато я слежу.

     
  • 4.67, Anonplus (?), 02:36, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    А я могу Более того, я - один из таких пользователей У автора поста ошибка в е... большой текст свёрнут, показать
     
     
  • 5.73, ананана (?), 11:20, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Программа Ghostery созданная для свободы имеет несвободную лицензию, этим всё сказано и поставлена жирная точка.

    Особенно при существовании свободных альтернатив ничем не уступающих:
    Подписок AdBlock Plus (можно выбрать установке).
    Lightbeam for Firefox https://addons.mozilla.org/en-US/firefox/addon/lightbeam/ - для просмотра статистики.

     
  • 2.48, dimqua (ok), 19:16, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +6 +/
    > License: Proprietary

    Расходимся, пацаны.

     

  • 1.5, anon1 (?), 14:56, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    До чего докатились знание внутреннего ип - уязвимость.
    Почта тоже внутренний адрес выдает в заголовках. Капитаны.
     
     
  • 2.27, Аноним (-), 16:53, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Почта односторонний канал.
     
     
  • 3.54, Аноним (-), 23:18, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Почта односторонний канал.

    А IP - вполне себе двухсторонний. И таки да, обычно мэйлер получающий от вас почту вписывает ваш айпи. И если внутренний айпи это как повезет, то уж внешний там по любому будет. И если вы кому-то не нравитесь - потом туда может прилететь хакерская атака, DDoS или что там еще. Получатель видит все заголовки, если что.

     
  • 2.49, Аноним (-), 19:44, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Какая страшная почта. Ну отрежь эти заголовки, раз мешают.
     
     
  • 3.55, Аноним (-), 23:19, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Какая страшная почта. Ну отрежь эти заголовки, раз мешают.

    А не получится отрезать, как минимум внешку. Это ремотный майлер дописывает.

     

  • 1.6, Михрютка (ok), 15:02, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +15 +/
    срочно в номер: STUN наконец-то заработал!
     
     
  • 2.28, Аноним (-), 16:54, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > срочно в номер: STUN наконец-то заработал!

    Уже давно, ещё с появления ip телефонии.

     

  • 1.10, imprtat (ok), 15:18, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Указанынй для теста ресурс в фф ничего не определил, а вот в хроме выдал адреса всех интерфейсов.
     
     
  • 2.12, th3m3 (ok), 15:27, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Может NoScript заблокировал?
     
     
  • 3.72, imprtat (ok), 11:17, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Нету и никогда не было
     
  • 2.56, Аноним (-), 23:20, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Указанынй для теста ресурс в фф ничего не определил,

    У тебя NoScript наверное. Ты читер.

     
  • 2.70, жабабыдлокодер (ok), 08:38, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    А у меня наоборот: хромиум не показывает ничего, а фф - только внешний ip.
     

  • 1.13, arzeth (ok), 15:28, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    У меня в хромиуме 40 и Firefox 35.0.1 определило внутренний и внешний адреса.
    Причём, даже если сидеть через Tor, то определяет мой настоящий ВНЕШНИЙ адрес!

    Однако если запустить Firefox через программу torsocks (sudo pacman -S torsocks), то есть torsocks firefox, то ни внутренний, ни внешний адреса вообще не определяет (ничего не пишет).

     
     
  • 2.29, Аноним (-), 16:56, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    А через ip netns вообще всё хорошо будет? :-)
     
  • 2.39, EHLO (?), 17:48, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Причём, даже если сидеть через Tor, то определяет мой настоящий ВНЕШНИЙ адрес!

    А вот это уже интересное свойство. Годный троян граждане запилили.

     
  • 2.57, Аноним (-), 23:21, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Однако если запустить Firefox через программу torsocks

    ...то он ессно рубанет все попытки юзать UDP и завернет все что TCPшное через tor.

     

  • 1.15, Tav (ok), 15:35, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Stun — это костыль, от которого давно пора избавляться, переходя на IPv6, тем более, что давно уже есть Teredo (miredo в *никсах) и всякие там freenet6, sixxs и HE, так что своего провайдера ждать не обязательно.
     
     
  • 2.36, Нанобот (ok), 17:18, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    переходи-переходи. главное, не забудь сразу отключить этот презренный ipv4.
     
     
  • 3.66, Tav (ok), 01:38, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > переходи-переходи.

    Давно уже.

    > не забудь сразу отключить этот презренный ipv4.

    Зачем?

     

  • 1.18, earfin (??), 15:57, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    192.168.0.3
    172.16.226.1
    172.16.198.1
    И что теперь?
     
     
  • 2.31, Аноним (-), 17:00, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > 192.168.0.3
    > 172.16.226.1
    > 172.16.198.1
    > И что теперь?

    Теперь ты лучше идентифицируешься плюс можно поперебирать возможные IP маршрутизатора для CSRF-атаки. О чём и написано в теме обсуждения.

     
     
  • 3.38, Xasd (ok), 17:48, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > поперебирать возможные IP маршрутизатора для CSRF-атаки.

    глупенький. если ты *УЖЕ* делаешь CSRF-атаку , то значит ты *УЖЕ* имеешь предположение об внутреннем ip-адресе атакуемого маршрутизатора.

    (каждая модель имеет соотстветвующие настройки поумолчанию..)

     
     
  • 4.58, Аноним (-), 23:23, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > (каждая модель имеет соотстветвующие настройки поумолчанию..)

    Жизня учит даже лошпедов постепенно подтягивать безопасность. Нынче как. Стоит в чистом поле default какой-нибудь. Но уже не open, а с шифрованием. Птому что без шифрования оказывается весь район халявным интернетом пользуется и интернет у баклана отчаянно тормозит :)

     
  • 2.65, Ivan1986 (?), 01:04, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    ну теперь они знают твой IP
     
  • 2.68, Ананас (?), 06:55, 05/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    А внешний-то где? Его они тоже знают.
     
     
  • 3.85, flkghdfgklh (?), 10:14, 29/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    И сильно тебе поможет мой внешний адрес, если мой домашний роутер сам за провайдерским натом? :-D
     

  • 1.20, anonymous (??), 16:05, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Старый баян. Смысл такое подтверждать?
     
  • 1.23, Аноним (-), 16:28, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    https://chrome.google.com/webstore/detail/webrtc-block/nphkkbaidamjmhfanlpblbl
     
  • 1.24, Аноним (-), 16:28, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Хром не позволяет выключить webrtc, палятся реальные IP даже при VPN/tor. Это пздц, товарищи!
     
     
  • 2.25, commiethebeastie (ok), 16:35, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    >VPN

    Оно что роуты обманывает?

     
  • 2.26, ryoken (?), 16:37, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Хром не позволяет выключить webrtc, палятся реальные IP даже при VPN/tor. Это
    > пздц, товарищи!

    Хром известная птица-дятел, зачем вы его руками трогаете..?
    (Сабжную фигню отключил).

     
  • 2.33, Аноним (-), 17:09, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Хром не позволяет выключить webrtc, палятся реальные IP даже при VPN/tor.

    А откуда оно эти реальные айпи берет?


     
     
  • 3.44, Аноним (-), 18:29, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    из WebRTC
     
     
  • 4.59, Аноним (-), 23:25, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > из WebRTC

    Напоминает анекдот про блондинку рассказывающую принцип работы автомобиля. Если у вас VPN - то весь траффик по идее в него должен бы улетать и это и будет айпи внешки. Какой-то иной айпи - а где его брать? Самый край можно наверное посмотреть на интерфейсы, но там могут быть и локалочные айпи. Если например впн роутер поднимает.

     
  • 2.41, axe (??), 18:03, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > палятся реальные IP даже при VPN/tor. Это пздц, товарищи!

    Это не пздц, это backdoor! Ни за что не поверю, что не подумали о возможности иных подключений браузера кроме как http и https. Уж тем более о STUN, созданным как раз для того, что бы спалить реальный внешний ип

     
     
  • 3.43, Аноним (-), 18:28, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    два чая этому господину
     
     
  • 4.60, Аноним (-), 23:27, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > два чая этому господину

    Ну так torify /your/browser - избавляет от западла :). Правда что интересно, хромиум при этом работать отказывается, в отличие от лисы. Зонд сопротивляется.

     
  • 3.51, Аноним (-), 21:52, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    дополнение к новости подтверждает мысль о бекдоре
     

  • 1.32, Аноним (-), 17:05, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот это новости.
    sharedrop.io
     
  • 1.34, гость (?), 17:10, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    определил только внешний ип, носкрипт не установлен, только фф и адблок
     
     
  • 2.61, Аноним (-), 23:28, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > определил только внешний ип,

    Всего ничего. А внутрений у тебя был вообще? У меня только внутренний детектирует. Если скрипт вообще разрешить.

     

  • 1.37, Xasd (ok), 17:22, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Дополнение: Метод оказался не нов, на
    > возможность определения внутреннего IP через
    > WebRTC обращали внимание ещё два года назад и
    > данная технология уже используется в реальных
    > сервисах.

    дополнение 2: знание внутреннего ip-ареса абсюлтно бесполезно.

    > определения адреса внутреннего интерфейса шлюза для проведение дальнейшей CSRF-атаки на
    > web-интерфейс беспроводного маршрутизатора через браузер пользователя

    к гадалке не ходи -- это 192.168.0.1 или 192.168.1.1 ..

     
     
  • 2.50, soarin (?), 20:25, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > ifconfig en0 | grep 'inet'

    inet6 fe80::8638:35ff:fe4b:2da6%en0 prefixlen 64 scopeid 0x4
    inet 10.0.1.11 netmask 0xffffff00 broadcast 10.0.1.255

     
     
  • 3.63, Xasd (ok), 23:35, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > inet6 fe80::8638:35ff:fe4b:2da6%en0 prefixlen 64 scopeid 0x4
    > inet 10.0.1.11 netmask 0xffffff00 broadcast 10.0.1.255

    и какая же CSRF-атака на твой роутер является известной?

    ...ни какая?

    ...ну тогда на кой мне нужно иметь знание твоего нестандартного ip-адреса нестандартного роутера?

    адреса -- 192.168.0.1 (или 192.168.1.1) будут иметь именно те роутеры, которые будут имеют известные дыры-безопасности (CSRF). а от твоих роутеров злоумышленнику толку нет.

     

  • 1.40, EHLO (?), 17:51, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Опять абсолютно ненужная функциональность оказалась трояном.
    Практически везде используются симметричные NAT, если используются.
    В смысле STUN не нужен.
     
  • 1.42, Аноним (-), 18:26, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Поставьте webrtc block в хроме и не мучайтесь.
     
     
  • 2.62, Аноним (-), 23:29, 04/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Поставьте webrtc block в хроме и не мучайтесь.

    "Если вас пырнули ножом - вы можете заклеить дырку лейкопластырем!"

     
     
  • 3.80, Аноним (-), 23:56, 06/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Хром обновился и уже не помогает(( Зонд имеет нас.
     

  • 1.45, Аноним (-), 18:54, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Сенсация слегка протухшая, zhovner почти год назад публиковал
    http://habrahabr.ru/post/215071/


    единственное новшество - теперь эту фичебагу раскрутили и до определения реального адреса юзера, сидящего за VPN/прокси

     
  • 1.52, Аноним (-), 22:09, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Так это ж дикий баян... Но лучше пусть будет еще раз
     
  • 1.53, Аноним (-), 23:08, 04/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Your local IP addresses:

    169.254.82.244
    169.254.78.220

    Ну-ну, позволяет он.

     
  • 1.64, Аноним (-), 00:21, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Слоу новости такие слоу. Ещё несколько лет назад обсудили, когда оно только появилось в браузерах.
     
  • 1.69, Аноним (-), 06:57, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Из новости торчат уши Майкрософта с его Скайпом, они менее всех заинтересованы в распространении WebRTC.
     
  • 1.71, Аноним (-), 10:43, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Firefox -> about:config -> media.peerconnection.enabled = false
     
  • 1.74, Аноним (-), 12:26, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Этот баг до сих пор не пофиксили, хотя бы спрашивая у пользователя, какие ip он готов опубликовать?
     
  • 1.75, none7 (ok), 14:55, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Только вот зачем вообще в реализации STUN в браузерах осуществляется выдача внутренних IP-адресов? Ведь для соединений точка-точка нужен только внешний адрес и порт. Именно их и выдаёт STUN-сервер, а остальные адреса браузер собирает самостоятельно через системные функции.
     
  • 1.76, Аноним (-), 15:23, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    про это писали год или полтора назад, с тех пор у всех вменяемых людей webrtc отключен в фф на корню.
     
  • 1.77, humanitycry (ok), 15:37, 05/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Много денег могут дать за закрытие уязвимости, но еще больше за неразглашение уязвимости.
     
  • 1.79, count0krsk (ok), 17:59, 06/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Проверил. Icecat + ublock - адреса не показало.
    Opera 12 + Tor - не показало.
    Chrome - показало оба верно. Всё-таки приятно, что пользуюсь правильными браузерами для серфинга, а неправильным - только для видео, где html5 не работает. И гуглокарт.
     
  • 1.84, Anonplus (?), 00:32, 03/11/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В Firefox 42 эту уязвимость можно закрыть с помощью media.peerconnection.ice.relay_only = true

    Проверил путём захода на тестовую страницу через Tor:
    false (по умолчанию) - показало мой реальный IP
    true = показало IP узла Tor

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру