Risico's van WebRTC
Waarom zou iemand dat willen weten?
1) Nauwkeuriger pinpointen wie precies vanachter een publiek IP-adres een site bezoekt (privacy risico)
2) Eenvoudiger kunnen zien wat jouw subnet is en gokken van bijvoorbeeld het interne IP-adres van jouw router/modem, NAS device etc. (security risico). Met de toename van lokaal genetwerkte devices (IoT, Internet of Things) nemen de risico's dan alleen maar toe, vooral als het default beheerwachtwoord daarop niet gewijzigd is of gegevens zonder wachtwoord kunnen worden opgevraagd of zelfs gewijzigd.
Aanvulling 13:05: wat WebRTC is, en het extra risico dat dit betekent voor VPN en TOR gebruikers, lees je in https://en.wikipedia.org/wiki/WebRTC#Concerns.
Opmerkingen bij punt 2: lokale IP-adressen kunnen ook in de headers van e-mails worden gelekt. Het niet kennen van jouw lokale IP-adres betekent niet dat een aanvaller, via jouw web browser (met name met plugins daarin), geen informatie over devices aan jouw interne netwerk kan vergaren. Maar met de kennis van het interne IP-adres van jouiw PC wordt dat wel makkelijker.
Nieuws: https://webrtchacks.com/dear-ny-times/ beschrijft in detail hoe de New York Times gebruik maakt van WebRTC om jouw lokale IP-adres te bepalen. Daarover loopt een discussie bij Reddit: https://www.reddit.com/r/netsec/comments/3dgwee/how_the_new_york_times_uses_webrtc_to_gather/.
Volgens die discussie bestaat er een Chrome plugin die je hiertegen beschermt (https://chrome.google.com/webstore/detail/webrtc-block/nphkkbaidamjmhfanlpblblcadhfbkdm), maar dat zou niet kloppen volgens diafygi in https://www.reddit.com/r/netsec/comments/3dgwee/how_the_new_york_times_uses_webrtc_to_gather/ct56zj9. Daarbij verwijst diafygi naar een de beschrijving van een POC in https://github.com/diafygi/webrtc-ips.
Die POC zelf vind je in https://diafygi.github.io/webrtc-ips/ (als jouw browser kwetsbaar is zie je ook jouw lokale IP-adres verschijnen - de aanvaller kan dat natuurlijk net zo goed niet tonen en via bijv. een POST commando, onopgemerkt door jou, naar de server sturen). Vergelijkbare checks vind je in http://net.ipcalf.com/ en https://www.browserleaks.com/webrtc.
Onderaan mijn bijdrage eerder deze week https://www.security.nl/posting/435417/Facebook-topman+wil+dat+Adobe+stopt+met+Flash#posting435462 noemde ik al WebRTC, en eind 2014 schreef Anoniem al in https://www.security.nl/posting/410482/Mozilla+dicht+9+lekken+in+Firefox+34+en+schakelt+SSLv3+uit#posting410492 hoe je WebRTC in Firefox kunt uitschakelen:
Zoek op
media.peerconnection.enabled
Die staat op true, dubbelklik op die regel is omzetten naar (false)
Weet iemand hoe je de POC https://diafygi.github.io/webrtc-ips/ blokkeert in Chrome?
https://en.wikipedia.org/wiki/WebRTC#Concerns
In January 2015, TorrentFreak reported that browsers supporting WebRTC suffer from a serious security flaw that compromises the security of VPN-tunnels, by allowing the true IP address of the user to be read.[17] The IP address read requests are not visible in the browser's developer console, and they are not blocked by common ad blocking/privacy plugins (enabling online tracking by advertisers and other entities despite precautions).[18]
Wanneer ga je nou een keer Torbrowser downloaden, installeren, bekijken de bijbehorende instructies èn het bijbehorende Faq lezen?
Zeer gewenst bij terugkerende 'boekenwijsheid' aangaande Tor, dan is het namelijk een keer concreet en had je ook kunnen zien dat onder de about:config van Tor dit te vinden is.
Standaard setting, nergens buiten de about config een setting te vinden die dat kan inschakelen.
Webrtc wordt namelijk niet gebruikt in Torbrowser.
Dag zorgjes,
dag Torrentblah
Groet, 02-12-2014, 10:59 door Anoniem
(Firefox, Torbrowser en diverse andere browsers gebruiker)
P.s., nogal ondergesneeuwd, een ander belangrijk privacy iets dat voor 'iedereen geldt' , namelijk hardware profiling (device fingerprinting) op basis van webrtc waardoor je zonder koekies te herkennen bent.
Kookies kan je wissen, je hardware profiel niet (zo makkelijk).
https://www.browserleaks.com/webrtc
(menu'tjes onderaan uitklappen!)
chrome://flags/#enable-webrtc-stun-origin
edit:
Voor Android:
chrome://flags/#disable-webrtc
NO CANVAS FINGERPRINTINGS
https://www.epicbrowser.com
Met èchte privacy
https://www.torproject.org/download/download-easy.html.en
En zonder ingebouwde zoekresultaten lijsten van sponsors
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.