Perdite WebRTC: la minaccia nascosta alla privacy

Informazioni su WebRTC

Che cos'è WebRTC?

WebRTC (Web Real-Time Communication) è un progetto open source che consente la comunicazione in tempo reale direttamente nei browser Web senza plug-in. Introdotto nel 2011 e ora supportato da tutti i principali browser, WebRTC potenzia:

• Chiamate vocali e video basate su browser (Google Meet, Zoom Web)
• Strumenti di collaborazione e condivisione dello schermo
• Condivisione di file (peer-to-peer)
• Tempo reale gaming
• Lstreaming live

La potenza di WebRTC deriva dallo stabilire connessioni peer-to-peer dirette tra browser, bypassando i server intermediari tradizionali per una latenza inferiore e prestazioni migliori.

Come WebRTC rileva il tuo IP

Per stabilire connessioni peer-to-peer, WebRTC deve scoprire gli indirizzi IP del tuo dispositivo. Questo processo utilizza server STUN (Session Traversal Utilities for NAT):

1. Richiesta di rilevamento: Il browser invia la richiesta al server STUN
2. IP Revelation: Il server STUN risponde con il tuo indirizzo IP pubblico
3. LScansione rete locale: WebRTC enumera anche le interfacce di rete locale e gli IP privati
4. Raccolta candidati: Tutti gli IP rilevati diventano "candidati ICE"
5. Exchange: Questi candidati vengono scambiati tra peer per la connessione

Lil problema: Questo rilevamento IP avviene automaticamente e può ignorare completamente il tunnel VPN.

Anatomia di una perdita WebRTC

Cosa può esporre WebRTC

A Una perdita WebRTC può rivelare:

• Indirizzo IP pubblico: Il tuo vero IP connesso a Internet (anche dietro VPN)
• Indirizzi IP privati: IP di rete interna (192.168.x.x, 10.x.x.x)
• Indirizzo IPv6: Il tuo indirizzo IPv6 se disponibile
• Topologia di rete: Informazioni sulla rete locale struttura
• ISP informazioni: Derivabile dal tuo pubblico reale IP
• Posizione geografica: A livello di città in base alla geolocalizzazione IP

Come si verifica la perdita

Anche con una VPN attiva connessione:

1. Visiti un sito Web con WebRTC abilitato
2. Il JavaScript del sito Web attiva un tentativo di connessione WebRTC
3. Il browser utilizza l'API WebRTC per individuare gli indirizzi IP locali
4. Il browser invia una richiesta STUN all'esterno del tunnel VPN
Il server
5. STUN risponde con il tuo vero IP pubblico
6. Il JavaScript del sito Web raccoglie tutti gli IP scoperti
7. Il tuo IP reale è ora noto nonostante la connessione VPN

Risultato: Il sito Web vede contemporaneamente sia il tuo IP VPN che il tuo IP reale.

Scenari di perdite WebRTC nel mondo reale

Scenario 1: il giornalista

Un giornalista in un paese con restrizioni utilizza una VPN per accedere a siti di notizie bloccati e proteggere la propria identità. Si dirigono verso una piattaforma di giornalismo investigativo, ignari che implementa il rilevamento delle impronte digitali WebRTC. Lo script di analisi del sito Web cattura il vero indirizzo IP del giornalista tramite WebRTC, esponendo potenzialmente la sua identità alla sorveglianza governativa.

Impatto: Rischio per la sicurezza personale, compromissione della fonte

Scenario 2: The Copyright Enforcer

Un utente esegue il torrenting di contenuti mentre è connesso a una VPN, credendo che il suo IP sia nascosto. Le società di monitoraggio del copyright utilizzano WebRTC nei loro software di monitoraggio. Quando l'utente visita i siti associati al tracker torrent, WebRTC rivela il suo reale IP, consentendo ai detentori dei diritti di identificarlo nonostante l'utilizzo della VPN.

Impatto: Notifiche DMCA, azione legale inviata a IP/ISP

reali

Scenario 3: rete pubblicitaria mirata

Un inserzionista incorpora il fingering WebRTC nei pixel degli annunci su migliaia di siti web. Gli utenti che pensano di essere anonimi tramite VPN vengono tracciati sui siti utilizzando il loro IP reale esposto tramite WebRTC. In questo modo si creano profili comportamentali dettagliati legati alla loro reale identità.

Impatto: Violazione della privacy, monitoraggio intersito, pubblicità mirata

Rilevamento di perdite WebRTC

Strumenti di test online

Diversi siti Web sono in grado di rilevare immediatamente perdite di WebRTC:

• BrowserLeaks.com/webrtc: Informazioni WebRTC complete
• IPLeak.net: Mostra tutti gli IP rilevati incluso WebRTC
• Il nostro test di perdita VPN: Verifica WebRTC perdite

Cosa cercare

Durante il test con VPN attiva, dovresti vedere:

Normale (sicuro):

• Viene visualizzato solo l'indirizzo IP del provider VPN
• Nessun IP di rete locale esposto esternamente
• WebRTC disabilitato o configurato correttamente

Leak rilevata:

• Il tuo IP pubblico reale viene visualizzato accanto all'IP VPN
• ISP diverso mostrato in WebRTC sezione
• Rilevata posizione geografica diversa
• LIP di rete locale esposti (meno critici ma informativi)

Test manuale della console del browser

Puoi testare le perdite WebRTC direttamente nella console per sviluppatori del browser:

{`// Apri la console del browser (F12), incolla questo codice: var pc = new RTCPeerConnection({iceServers: [{urls: "stun:stun.services.mozilla.com"}]}); pc.createDataChannel(""); pc.createOffer().then(offerta => pc.setLocalDescription(offerta)); pc.onicecandidate = ghiaccio => { if (!ice || !ice.candidate || !ice.candidate.candidate) return; var ip = /([0-9]{1,3}(\\.[0-9]{1,3}){3}|[a-f0-9]{1,4}(:[a-f0-9]{1,4}){7})/.exec(ice.candidate.candidate)[1]; console.log('IP trovato:', ip); }`}

Qualsiasi indirizzo IP registrato che non corrisponde alla tua VPN indica una perdita.

Prevenzione delle perdite di WebRTC

Browser Google Chrome e Chromium

Metodo 1: estensione del browser

Installa un'estensione di controllo WebRTC:

• Prevenzione perdite WebRTC: Il più popolare, leggero
• uBlock Origine: Include la protezione WebRTC nelle impostazioni
• Privacy Badger: Strumento per la privacy generale con controllo WebRTC

Configurazione (Prevenzione perdite WebRTC):

1. Installa l'estensione dal Chrome Web Store
2. Fai clic sull'icona dell'estensione
3. Scegli "Disabilita non proxy Opzione UDP (forza proxy)"
4. Ciò impedisce a WebRTC di ignorare il proxy/VPN

Metodo 2: Flag Chrome (Avanzato)

{`chrome://flags/#enable-webrtc-hide-local-ips-with-mdns Set to "Enabled"`}

Questo rende anonimi gli indirizzi IP locali esposti da WebRTC.

Mozilla Firefox

Metodo 1: impostazione nativa di Firefox (consigliata)

1. Type about:config nella barra degli indirizzi
2. Accetta l'avviso e procedi
3. Cerca: media.peerconnection.enabled
4. Tiastra a false (disabilita WebRTC completamente)

Per protezione parziale (WebRTC funzionante ma protetto da perdite):

{`media.peerconnection.ice.default_address_only = true media.peerconnection.ice.no_host = true media.peerconnection.ice.proxy_only_if_behind_proxy = true`}

Metodo 2: Firefox Estensioni

• Disabilita WebRTC: Attiva/disattiva estensione semplice
• uBlock Origin: Abilita "Impedisci a WebRTC di divulgare indirizzi IP locali" nelle impostazioni

Microsoft Edge

Edge (basato su Chromium):

Come Chrome: utilizza estensioni come WebRTC Leak Prevent o:

{`edge://flags/#enable-webrtc-hide-local-ips-with-mdns Set to "Enabled"`}

Safari (macOS/iOS)

macOS Safari:

1. Apri Preferenze Safari
2. Vai alla scheda Avanzate
3. Seleziona "Mostra menu Sviluppo nel menu bar"
4. Dal menu Sviluppo, seleziona "Funzioni sperimentali"
5. Trova e disattiva "Candidati WebRTC mDNS ICE"

iOS Safari:

Lopzioni limitate. Approccio migliore:

• Utilizza VPN con protezione da perdite WebRTC
• Utilizza browser alternativi con migliori controlli della privacy (Firefox Focus)

Opera e Brave

Opera:

1. Impostazioni → Privacy e sicurezza
2. Scorri fino alla sezione WebRTC
3. Seleziona "Disabilita UDP non proxy"

Brave:

1. Impostazioni → Privacy e sicurezza
2. Trova "Criteri di gestione IP WebRTC"
3. Seleziona "Disabilita UDP non proxy" o "Disabilita WebRTC"

VPProtezione WebRTC di livello N

Alcune VPN offrono protezione dalle perdite WebRTC integrata:

VPN Estensioni del browser

• Estensione dedicata Protezione WebRTC: Molti provider VPN offrono estensioni del browser che includono il blocco WebRTC
• Configurazione automatica: L'estensione configura automaticamente le impostazioni del browser
• Itest integrato: Integrato strumenti di rilevamento perdite

Regole firewall a livello di sistema

Gli utenti avanzati possono configurare le regole firewall per bloccare il traffico STUN/TURN:

Linux (iptables):

{`# Block outbound STUN traffic (UDP 3478) sudo iptables -A OUTPUT -p udp --dport 3478 -j DROP # Block alternative STUN ports sudo iptables -A OUTPUT -p udp --dport 19302 -j DROP`}

Windows Firewall:

1. Windows Defender Firewall → Impostazioni avanzate
2. Regole in uscita → Nuova regola
3. Porta → UDP → Porte specifiche: 3478, 19302
4. Blocca il connessione

Test dopo la configurazione

Dopo aver implementato le protezioni, verifica che funzionino:

1. Connettiti a VPN e verifica VPN IP
2. Visita il sito di test WebRTC: Test di tenuta VPN
3. Controlla risultati: Dovrebbe mostrare solo IP VPN, non IP reale
4. Test funzionalità WebRTC: Se necessario, verifica che le videochiamate funzionino ancora
5. Ripeti il test dopo gli aggiornamenti del browser: Gli aggiornamenti possono ripristinare le impostazioni

WebRTC vs Privacy: trovare l'equilibrio

Quando ti serve WebRTC

Alcuni servizi richiedono la funzionalità WebRTC:

• Videoconferenze basate su browser
• Collaborazione in tempo reale strumenti
• Condivisione file peer-to-peer
• Giochi basati su WebRTC

Soluzione: Utilizza profili browser diversi:

• Profilo privacy: WebRTC disabilitato, utilizzato per la navigazione generale
• Profilo di lavoro: WebRTC abilitato, utilizzato solo per i servizi necessari

Approcci alternativi

• App desktop anziché Web: Utilizza app desktop Zoom/Teams anziché Web versioni
• Abilitazione selettiva: Abilita WebRTC solo quando necessario, disabilitalo subito dopo
• Tor Browser: Ha WebRTC disabilitato per impostazione predefinita con forti protezioni contro le perdite

Lil futuro di WebRTC e Privacy

Miglioramenti del browser

• Candidati mDNS: Chrome/Edge ora offusca gli IP locali con indirizzi .local
• Richieste di autorizzazione: Alcuni browser stanno sperimentando l'autorizzazione WebRTC richieste
• Modalità di privacy: Modalità di privacy migliorate che limitano le funzionalità WebRTC

Sfide continue

• WebRTC essenziale per le applicazioni web moderne
• Equilibrio tra funzionalità e privacy difficili
• Standardizzazione tra i browser incompleta
• Continuano a emergere nuovi vettori di impronte digitali

Domande frequenti

Conclusion

Le perdite di WebRTC rappresentano una grave vulnerabilità che può compromettere completamente la protezione VPN. Sebbene WebRTC abiliti preziose funzionalità di comunicazione in tempo reale, i suoi meccanismi di rilevamento IP possono esporre la tua identità anche quando ritieni di essere protetto.

Punti chiave:

• Testare regolarmente: Le perdite di WebRTC sono facili da rilevare se si controlla
• Disabilitare quando non necessario: La maggior parte degli utenti non ha bisogno di WebRTC quotidianamente navigazione
• Utilizza le estensioni del browser: Il modo più semplice per ottenere il controllo su WebRTC
• Verifica la protezione VPN: Non tutte le VPN proteggono dalle perdite di WebRTC
• Rimani aggiornato: Gli aggiornamenti del browser possono ripristinare le impostazioni WebRTC

La privacy richiede vigilanza su più vettori. Proteggere la tua connessione VPN non è sufficiente: devi anche proteggerti da perdite a livello di browser come WebRTC. Comprendendo come funziona WebRTC e implementando le protezioni descritte in questa guida, puoi colmare questa lacuna critica in termini di privacy.