Что такое утечка DNS или WebRTC?

Считайте DNS телефонной книгой интернета. Когда вы вводите веб‑адрес, одного имени устройству мало: ему нужно превратить имя в число, IP‑адрес, и для этого оно спрашивает DNS‑резолвер. В большинстве сетей резолвер принадлежит тому, кто держит сеть: дома это ваш провайдер, на работе — ИТ‑отдел.

Так маленький запрос «где находится example.com?» уходит на сервер, который вы не контролируете, и несёт с собой имя сайта, который вы собираетесь открыть. Утечка DNS — это когда такой запрос ускользает мимо защиты, которая, как вы думали, вас прикрывает. Сам трафик может быть зашифрован, но если запрос имени по‑прежнему уходит к резолверу сети, сеть так и узнаёт имя каждого сайта, куда вы заходите.

Посмотрим, что именно утекает. Утечка DNS не раскрывает, что вы отправили или прочитали. Она раскрывает, куда вы заходили, а для многих это и есть самое личное.

WebRTC — это набор функций, встроенных в каждый современный браузер, чтобы видеозвонки, голосовой чат и часть прямого обмена файлами работали без отдельного приложения. Чтобы соединить 2 собеседников, WebRTC сначала должен выяснить адреса, по которым доступна каждая сторона. Он собирает адреса‑кандидаты, включая локальный сетевой адрес вашего устройства и — с помощью так называемого STUN‑сервера — ваш публичный IP.

Загвоздка в том, что этот сбор адресов может запускаться прямо из JavaScript на странице и уходить своим путём, а не тем, которым идут остальные ваши инструменты. Страница может тихо спросить браузер: «какой настоящий IP у этого посетителя?» — и получить ответ, даже когда основное соединение выглядит наглухо закрытым.

Это и есть утечка WebRTC. Она может отдать странице ваш настоящий IP‑адрес через функцию, которую вы никогда не включали, — именно на этом и попадались люди, считавшие, что один инструмент их прикрыл.

Сравните их. Утечка DNS сообщает сети имена сайтов, на которые вы заходите. Утечка WebRTC сообщает сайту число, которое идентифицирует ваше соединение. Если вы на устройстве или в сети, которыми управляет кто‑то другой, важнее всего именно эти утечки.

За прокси или инструмент приватности вы берётесь как раз затем, чтобы оставить один из этих 2 фактов при себе. Утечка в любом из каналов сводит эти усилия на нет без единого сигнала. Ничто не выглядит сломанным. Страница всё так же загружается. Вы просто отдали больше, чем собирались.

• Утечка DNS: утекает имя сайта, видит его сеть (провайдер или локальный резолвер), а ловится она тестом на утечку DNS.
• Утечка WebRTC: утекает ваш настоящий IP‑адрес, видит его страница, которую вы открыли, а ловится она тестом на утечку WebRTC.

Здесь веб‑прокси с переписыванием и показывает свою пользу, и здесь же стоит точно понимать, что он делает, а чего нет.

Когда вы открываете сайт через TrickyBird, на самом деле вы загружаете адрес TrickyBird. Адрес цели закодирован внутри пути, а имя сайта мы разрешаем на своей стороне: ваше устройство запрашивает наш адрес. Вот что здесь делает для вас веб‑прокси: он скрывает ваш IP от сайта, который вы открываете, а имя этого сайта разрешает на своей стороне. Это та же нулевая утечка домена: везде, где адрес цели приходится передавать, он передаётся закодированным, а не написанным в явном виде (а какие сайты сейчас открываются без сбоев, показывает страница статуса). Скачивать нечего, приложения нет — а это и важно, когда блокировка стоит на устройстве, которое не даст ничего установить.

Есть одно ограничение, о котором стоит сказать прямо. Самому шлюзу всё равно нужно разрешить имя цели и подключиться к ней, чтобы её загрузить, так что этот участок не скрыт. Мы храним о нём намеренно маленькую запись: усечённый IP‑адрес, обрезанный до /24 или /48, чтобы он указывал на квартал, а не на конкретный дом, плюс имя хоста назначения и базовые сведения об ответе — не дольше 48 часов. Полные сроки хранения и удаления — на /security. Запись минимальная и хранится недолго, и суть в том, что вы можете проверить это сами, а не верить нам на слово. Безоговорочное обещание, которое вам нечем проверить, — совсем другое дело. Сравните политики.

Нет, и здесь стоит сказать прямо. TrickyBird переписывает страницы, которые отдаёт, но не перехватывает WebRTC. WebRTC работает как отдельная подсистема браузера по собственному сетевому пути, поэтому страница, которую вы открываете через прокси, всё ещё может напрямую обратиться к STUN‑серверу и получить ваш настоящий IP, даже когда остальная часть этой страницы загружается через TrickyBird.

Поэтому относитесь к WebRTC как к тому, что вы отключаете сами, а не как к тому, чем занимается прокси за вас. Отключите его в браузере по шагам ниже, а затем запустите тест на утечку WebRTC на том самом устройстве и в той самой сети, которые вам важны, чтобы убедиться, что ваш настоящий IP больше не виден. Лучше проверить это самому, чем доверять любому заявлению, включая это.

Полагаться на один‑единственный инструмент необязательно. WebRTC можно ограничить и на уровне браузера, и стоит знать как. В Firefox откройте about:config и выставьте media.peerconnection.enabled в false — функция выключится. В Chrome встроенного переключателя нет, поэтому обычно берут проверенное расширение, блокирующее WebRTC, хотя на управляемом устройстве добавить его могут и не разрешить.

На мобильных устройствах картина зависит от платформы. Safari на iOS строже ограничивает то, что WebRTC отдаёт странице, а Chrome на Android ведёт себя почти так же, как на компьютере. Так что если вы спрашиваете, возможна ли утечка через WebRTC на iOS, — возможна, просто не так легко, как на компьютере.

У DNS есть своя настройка на уровне браузера, о которой стоит упомянуть. DNS over HTTPS, или DoH, отправляет ваши запросы к резолверу по зашифрованному каналу вместо стандартного сетевого — с неё многие и начинают, впервые прочитав об утечках DNS. Ничто из этого не заменяет проверку: попробуйте, а потом убедитесь, что сработало.

Верить рекламной строчке не нужно, да и не стоит. Тест на утечки занимает около минуты. Откройте страницу проверки утечек DNS и WebRTC — нейтральный сервис вроде browserleaks.com или ipleak.net — и она покажет, к каким резолверам уходят ваши запросы и какой публичный IP видит за вами страница, включая WebRTC.

Сделайте это один раз в той сети, которая вам действительно важна. Если в списке резолвер вашего провайдера или локальной сети — DNS утекает. Если показанный публичный IP — ваш собственный адрес, его раскрывает WebRTC или само соединение. Включите свой инструмент и прогоните ту же проверку ещё раз, чтобы увидеть, изменились ли цифры.

Страница TrickyBird «Проверка утечек» (/proof) проверяет другое, и их лучше не смешивать. Она по шагам показывает, где на самом деле оказывается адрес сайта, который вы открываете: в адресной строке и в заголовках Referer и Origin он закодирован в нашем адресе, а не написан в явном виде, а в исходном коде страницы он выписан в одном месте, которое страница вам называет. Это проверка на утечку домена, а не тест DNS или WebRTC: она не показывает IP и не говорит, раскрывает ли WebRTC ваш. Для этого воспользуйтесь одной из страниц проверки утечек выше и отключите WebRTC в браузере. Пользоваться стоит тем сервисом, который выдерживает проверку, когда кто‑то открывает инструменты разработчика и смотрит сам. Тот же критерий стоит применять к любому бесплатному веб‑прокси, включая наш.

Читайте дальше, если хотите разобраться в основах.

• Что такое веб‑прокси?
• Веб‑прокси или VPN
• Законно ли пользоваться прокси?
• Разблокировать сайт
• Наша политика логирования и безопасности