Что такое утечка DNS или WebRTC?

Считайте DNS телефонной книгой интернета. Когда вы вводите веб-адрес, одного имени устройству мало: ему нужно превратить имя в число, IP-адрес, и для этого оно спрашивает DNS-резолвер. В большинстве сетей резолвер принадлежит тому, кто держит сеть: дома это ваш провайдер, на работе — ИТ-отдел.

Так маленький запрос «где находится example.com?» уходит к машине, которую вы не контролируете, и несёт с собой имя сайта, который вы собираетесь открыть. Утечка DNS — это когда такой запрос ускользает мимо защиты, которая, как вы думали, вас прикрывает. Сам трафик может быть зашифрован, но если запрос имени по-прежнему уходит к резолверу сети, сеть так и узнаёт имя каждого сайта, куда вы заходите.

Важно заметить, что именно утекает. Утечка DNS не раскрывает, что вы отправили или прочитали. Она раскрывает, куда вы шли, а для многих это и есть самое чувствительное.

WebRTC — это набор функций, встроенных в каждый современный браузер, чтобы видеозвонки, голосовой чат и часть прямого обмена файлами работали без отдельного приложения. Чтобы соединить 2 собеседников, WebRTC сначала должен выяснить адреса, по которым доступна каждая сторона. Он собирает адреса-кандидаты, включая локальный сетевой адрес вашего устройства и — с помощью так называемого STUN-сервера — ваш публичный IP.

Загвоздка в том, что этот сбор адресов может запускаться прямо из JavaScript на странице и уходить своим собственным путём, а не тем, которым идут остальные ваши инструменты. Страница может тихо спросить браузер: «какой настоящий IP у этого посетителя?» — и получить ответ, даже когда основное соединение выглядит наглухо закрытым.

Это и есть утечка WebRTC. Она может отдать странице ваш настоящий IP-адрес через функцию, которую вы никогда не включали, — именно на этом и попадались люди, считавшие, что один инструмент их прикрыл.

Поставьте их рядом. Утечка DNS сообщает сети имена мест, куда вы заходите. Утечка WebRTC сообщает сайту число, которое идентифицирует ваше соединение. Если вы на устройстве или в сети, которыми управляет кто-то другой, эта пара решает всё.

За прокси или инструмент приватности вы берётесь как раз затем, чтобы оставить один из этих 2 фактов при себе. Утечка в любом из каналов сводит эти усилия на нет без единого сигнала. Ничто не выглядит сломанным. Страница всё так же загружается. Вы просто отдали больше, чем собирались.

• Утечка DNS: утекает имя сайта, видит его сеть (провайдер или локальный резолвер), а ловится она тестом на утечку DNS.
• Утечка WebRTC: утекает ваш настоящий IP-адрес, видит его страница, которую вы открыли, а ловится она тестом на утечку WebRTC.

Здесь веб-прокси с переписыванием и оправдывает своё место, и здесь же стоит точно понимать, что он делает, а чего нет.

Когда вы открываете сайт через TrickyBird, на самом деле вы загружаете собственный адрес TrickyBird. Адрес цели закодирован внутри пути, поэтому браузер обращается только к TrickyBird, а имя нужного сайта в DNS не запрашивает. Имя нужного вам сайта разрешается на нашей стороне, а не на вашем устройстве. Проще говоря, имя хоста цели не попадает в DNS-запросы, которые браузер отправляет в окружающую сеть. Если ваш вопрос — «скрывает ли веб-прокси мой IP и держит ли имена сайтов подальше от локального резолвера», то ровно эту работу схема и делает. Это та же нулевая утечка домена, которая держит имя цели вне адресной строки и вне страницы (какие сайты сейчас открываются чисто — на /status). Скачивать нечего, приложения нет — а это и важно, когда блокировка стоит на устройстве, которое не даст ничего установить.

Есть один честный предел, о котором стоит сказать прямо. Самому шлюзу всё равно нужно разрешить имя цели и подключиться к ней, чтобы её загрузить, так что этот участок не скрыт. Мы храним о нём намеренно маленькую запись: усечённый IP-адрес, обрезанный до /24 или /48, чтобы он указывал на квартал, а не на конкретный дом, плюс имя хоста назначения и базовые сведения об ответе — не дольше 48 часов. Полные сроки хранения и удаления — на /security. Это проверяемое минимальное короткоживущее логирование, и суть в том, что вы можете проверить его сами, а не верить нам на слово. Совсем другая позиция, чем абсолютное обещание, которое вам нечем проверить. Сравните политики.

Нет, и здесь стоит сказать прямо. TrickyBird переписывает страницы, которые отдаёт, но не перехватывает WebRTC. WebRTC работает как отдельная подсистема браузера по собственному сетевому пути, поэтому страница, которую вы открываете через прокси, всё ещё может напрямую обратиться к STUN-серверу и получить ваш настоящий IP, даже пока остальная часть этой страницы загружается через TrickyBird.

Поэтому относитесь к WebRTC как к тому, что вы отключаете сами, а не как к тому, чем занимается прокси за вас. Отключите его в браузере по шагам ниже, а затем запустите тест на утечку WebRTC на том самом устройстве и в той самой сети, которые вам важны, чтобы убедиться, что ваш настоящий IP больше не виден. Лучше проверить это самому, чем доверять любому заявлению, включая это.

Полагаться на один-единственный инструмент необязательно. WebRTC можно приглушить и на уровне браузера, и стоит знать как. В Firefox откройте about:config и выставьте media.peerconnection.enabled в false — функция выключится. В Chrome встроенного переключателя нет, поэтому обычно берут проверенное расширение, блокирующее WebRTC, хотя на управляемом устройстве добавить его могут и не разрешить.

На мобильных картина зависит от платформы. Safari на iOS строже к тому, что WebRTC отдаст странице, а Chrome на Android ведёт себя почти как настольный. Так что если вы спрашиваете, утекает ли iOS через WebRTC, — может, просто не так свободно, как настольный браузер.

У DNS есть своя настройка на уровне браузера, о которой стоит упомянуть. DNS over HTTPS, или DoH, отправляет ваши запросы к резолверу по зашифрованному каналу вместо стандартного сетевого — с неё многие и начинают, впервые прочитав об утечках DNS. Ничто из этого не заменяет проверку. Это рычаги: попробовать, а потом убедиться.

Верить рекламной строчке не нужно, да и не должны вы этого делать. Тест на утечки занимает около минуты. Откройте страницу проверки утечек DNS и WebRTC — нейтральный сервис вроде browserleaks.com или ipleak.net — и она покажет, к каким резолверам уходят ваши запросы и какой публичный IP видит за вами страница, включая WebRTC.

Сделайте это один раз в той сети, которая вам действительно важна. Если в списке резолвер вашего провайдера или локальной сети — DNS утекает. Если показанный публичный IP — ваш собственный адрес, его раскрывает WebRTC или само соединение. Включите свой инструмент и прогоните ту же проверку ещё раз, чтобы увидеть, изменились ли цифры.

Страница /proof у TrickyBird проверяет другое, и их лучше не смешивать. Она показывает, что адрес сайта, который вы открываете, никогда не появляется в адресной строке, в исходном коде страницы и в заголовках Referer и Origin, которые отправляет ваш браузер. Это проверка на утечку домена, а не тест DNS или WebRTC: она не показывает IP и не говорит, раскрывает ли WebRTC ваш. Для этого воспользуйтесь одной из страниц проверки утечек выше и отключите WebRTC в браузере. Инструмент, которым стоит пользоваться, — тот, что выдерживает проверку, когда кто-то открывает панель разработчика и смотрит сам. Тот же критерий стоит применять к любому бесплатному веб-прокси, включая наш.

Читайте дальше, если хотите разобраться в основе под этой темой.

• Что такое веб-прокси?
• Веб-прокси или VPN
• Законно ли пользоваться прокси?
• Разблокировать сайт
• Наша политика логирования и безопасности