VPN用户要小心了,近日,有安全研究员发现,VPN服务可能会意外泄漏用户的真实IP位置信息。凋查显示,市面上有23%的VPN服务,可通过浏览器的WebRTC技术泄漏使用者的真实IP位置,而WebRTC在多数的主流浏览器中是默认启用的,建议暂时停用浏览器的WebRTC功能。
资深安全研究员以及渗透测试工程师Paolo Stagno,以笔名Voidsec在网上揭露,他研究了市面上70家厂商的VPN服务,发现有16家的VPN服务,会通过WebRTC泄露使用者的IP位置,占全部VPN服务的23%。Paolo Stagno表示,可能有可能样本外的更多的VPN服务也有此漏洞。
Paolo Stagno在谷歌文件上列出了他的检测结果,包括浏览器以及VPN服务清单,并设置了一个检测网址,使用者启用VPN服务后浏览该网页,便能知道自己所使用的VPN服务有无该漏洞。Paolo Stagno将网页上运行的程序开源在GitHub上,并希望使用过检测服务的用户能反馈结果,帮助他完成整份检测清单。
WebRTC是一个开源服务,让浏览器以及移动应用能用简易的API,建立即时通讯(Real-Time Communications,RTC)功能。WebRTC服务的中介服务器STUN,会保留用户的公有IP以及私有IP位置,问题发生在STUN服务器会将这些信息透漏给与用户建立WebRTC连线的网站。Paolo Stagno提到,使用JavaScript便能读取这些资讯,而且由于这并非正常的XML/HTTP请求程序,因此在开发者控制台(Developer Console)是看不到的,这种去匿名技术的成立条件,用户端必须同时支援WebRTC和JavaScript。
Paolo Stagno建议,如果使用者现在想保证完全的匿名浏览,首先需要停用WebRTC与JavaScript,停用画布渲染(Canvas Rendering),并启用DNS Fallback功能,禁止所有VPN供应商外的所有连线,无论在连接VPN之前与之后,都应完全关闭所有浏览器,清除浏览器暂存档、历史纪录以及Cookie。