В технологии WebRTC (http://dev.w3.org/2011/webrtc/editor/webrtc.html), предоставляющей средства для аудио- и видео-коммуникаций в режиме реального времени, выявлена проблема с безопасностью (https://github.com/diafygi/webrtc-ips), позволяющая на внешнем сайте определить внутренний IP-адрес пользователя, используемый до трансляции адресов.

Метод достаточно прост в реализации и основывается на особенностях работы механизма STUN (https://ru.wikipedia.org/wiki/STUN), используемого в WebRTC для организации соединения к системе, выходящей в Сеть через транслятор адресов. Протестировать работу метода можно на данной странице (https://diafygi.github.io/webrtc-ips/), на которой будет показан intranet-адрес. Метод работает в Chrome и Firefox.

Информация о внутреннем адресе, например, может использоваться злоумышленниками для определения адреса внутреннего интерфейса шлюза для проведение дальнейшей CSRF-атаки (https://ru.wikipedia.org/wiki/%D0%9C%D0%... через браузер пользователя. Информация также может использоваться рекламными сетями для скрытого отслеживания перемещений пользователя по сети, так как запросы от STUN-сервера не фигурируют в web-консоли и не могут быть заблокированы такими дополнениями, как AdBlockPlus и Ghostery.

URL: https://share.naturalnews.com/p/125002
Новость: https://www.opennet.ru/opennews/art.shtml?num=41606