Утечки WebRTC и DNS через прокси: как проверить и закрыть

Утечка - это ситуация, когда часть трафика или сведений о вас идёт мимо прокси. Сайт видит IP прокси в основном запросе, но через другой канал получает ваш настоящий адрес или признаки вашего провайдера. Для антифрод-системы это сильный сигнал: адрес из Германии, а WebRTC показывает домашний IP в Москве.

WebRTC - технология видеозвонков и передачи данных прямо между браузерами. Чтобы два браузера нашли друг друга, каждый собирает список своих адресов, так называемых ICE-кандидатов. Часть из них браузер узнаёт, спросив у STUN-сервера: «с какого адреса ты меня видишь?»

Проблема в том, что STUN работает по UDP, а HTTP-прокси передаёт только TCP-соединения. Если браузер не ограничен настройками, UDP-запрос уходит напрямую, и STUN-сервер возвращает ваш настоящий публичный IP. Любой сайт может запустить такой сбор кандидатов скриптом без всяких разрешений и прочитать адрес.

Прежде чем подключиться к example.com, программа должна узнать его IP. Если это делает ваш компьютер, запрос уходит DNS-серверу провайдера, а сайт с помощью специальной техники может узнать, какой резолвер обработал запрос. Так тест утечек видит DNS вашего провайдера, хотя IP показывает прокси.

Отсюда простое правило: при работе через SOCKS5 всегда включайте разрешение имён на стороне прокси. В Firefox это галочка проксирования DNS-запросов при использовании SOCKS v5 в параметрах соединения, в скриптах буква h в схеме, в Proxifier опция Resolve hostnames through proxy. Про разницу протоколов подробнее в статье HTTP(S) и SOCKS5.

1. 01

   Включите прокси и откройте чистый профиль

   Расширения и старые cookies могут исказить результат. Удобнее всего проверять в новом профиле браузера или антидетекта.

2. 02

   Проверьте IP

   Откройте browserleaks.com/ip или ipleak.net. В поле адреса должен быть IP прокси, страна и провайдер должны совпадать с купленными.

3. 03

   Проверьте WebRTC

   На странице browserleaks.com/webrtc посмотрите раздел с публичными адресами. Там должен быть адрес прокси или пусто, но не ваш домашний IP.

4. 04

   Проверьте DNS

   Запустите расширенный тест на dnsleaktest.com. В списке серверов не должно быть DNS вашего домашнего или мобильного провайдера.

5. 05

   Проверьте IPv6

   Откройте api6.ipify.org. Если показан ваш домашний IPv6, часть трафика идёт мимо прокси.

6. 06

   Сверьте часовой пояс и язык

   Сервисы проверки показывают часовой пояс браузера. Он должен соответствовать стране прокси.

Ваш домашний адрес для сравнения узнайте заранее, без прокси: как это сделать, рассказано в статье как узнать свой IP. Полный чек-лист проверки прокси, включая скорость и чёрные списки, есть в статье как проверить прокси.

Chrome и Edge

Встроенного переключателя в настройках нет. Есть два способа:

• Расширение WebRTC Network Limiter от Google. В нём выберите режим, при котором WebRTC не использует UDP в обход прокси. Звонки через прокси могут работать хуже, зато адрес не утекает.
• Корпоративная политика WebRtcIPHandling со значением disable_non_proxied_udp. Её задают через реестр Windows или профиль конфигурации macOS, она действует на все профили браузера.

Firefox

network.proxy.socks_remote_dns          true
media.peerconnection.ice.proxy_only     true
media.peerconnection.ice.default_address_only  true

# полностью отключить WebRTC (звонки в браузере перестанут работать)
media.peerconnection.enabled            false

Первая настройка отправляет DNS-запросы через SOCKS5, вторая заставляет WebRTC ходить только через прокси, третья ограничивает список адресов основным. Полное отключение WebRTC надёжно, но заметно: часть сайтов проверяет наличие WebRTC, и его отсутствие само по себе выделяет браузер. Пошаговая настройка прокси в браузерах описана в статье настройка прокси в браузере.

Антидетект-браузеры решают проблему на уровне профиля. Обычно для WebRTC есть три режима:

Выбирайте подмену и автоопределение часового пояса и геолокации по IP прокси. После создания профиля один раз пройдите проверку из раздела выше. Подробности о связке прокси и профилей в статье прокси в антидетект-браузере, а сценарии для рекламных кабинетов на странице прокси для арбитража.

Даже если IP, WebRTC и DNS чистые, сайт сравнивает адрес с тем, что сообщает о себе браузер. Каждое расхождение по отдельности не страшно, но вместе они складываются в портрет «человек в Москве с немецким прокси».

Обратите внимание и на смену адреса. Если аккаунт вчера заходил из Казахстана, а сегодня из Германии, это тоже сигнал, даже без единой утечки. Для аккаунтов держите постоянный адрес одной страны, а подробности о типах адресов найдёте в статье серверные, ISP, резидентские и мобильные.

В коде WebRTC обычно нет, а вот DNS-утечки встречаются постоянно. Типичный пример - SOCKS5 в curl или Python со схемой без h.

curl -x socks5h://login:[email protected]:1080 https://api.ipify.org

# Python requests
proxies = {"https": "socks5h://login:[email protected]:1080"}

Ещё одна ловушка - системный прокси в Windows и macOS. Его учитывают браузеры и часть программ, но многие приложения его игнорируют и ходят напрямую. Если нужно гарантированно завернуть в прокси всю программу, используйте Proxifier с включённым разрешением имён через прокси, а затем проверьте, что сайт видит нужный адрес. Примеры для разных инструментов собраны в статье прокси в curl, wget и Node.js.