Test di fuga WebRTC

Perché un browser può conoscere più di un indirizzo

Caricare una pagina web è uno scambio semplice. Il browser chiede, un server risponde, e il server scopre una sola cosa sulla tua rete: l’indirizzo da cui è arrivata la richiesta. Una videochiamata funziona diversamente. Due browser cercano di mandarsi audio e video direttamente, e per farlo ognuno deve dire all’altro dove può essere raggiunto.

WebRTC è la funzione del browser che se ne occupa. Prima di una chiamata raccoglie tutti gli indirizzi che potrebbero funzionare, un passaggio chiamato ICE gathering. Elenca gli indirizzi delle interfacce di rete del tuo dispositivo, poi fa una sola domanda a un aiutante pubblico chiamato server STUN: «da quale indirizzo mi vedi arrivare?». Ogni risposta diventa un «candidato».

Qualsiasi pagina web può avviare questa raccolta con poche righe di JavaScript. Non servono una chiamata né una richiesta di permesso, e sullo schermo non compare nulla. Se la domanda STUN passa fuori dal tunnel della VPN, o da un’interfaccia che la VPN non copre, l’elenco dei candidati contiene l’indirizzo che ti ha dato il tuo provider. Ecco cos’è una fuga WebRTC.

Cosa fa il test

1. Quando la pagina si carica, il nostro server annota l’indirizzo da cui è arrivata la tua richiesta e indica la rete che lo possiede. Questo è il riquadro 01.
2. Il browser apre una connessione WebRTC che non va da nessuna parte, puntata verso due server STUN, uno gestito da Google e uno da Cloudflare, e raccoglie candidati per un massimo di sette secondi.
3. I candidati vengono smistati. Gli intervalli privati (10.x, da 172.16 a 172.31, 192.168.x), gli indirizzi condivisi degli operatori (da 100.64 a 100.127), gli indirizzi link-local e i nomi .local vengono messi da parte come locali. Il resto è pubblico.
4. Fino a sei indirizzi pubblici vengono inviati al nostro server, che restituisce la rete a cui appartiene ciascuno.
5. Ogni indirizzo pubblico viene confrontato con il riquadro 01 e riceve un’etichetta.

Leggere le etichette

Sotto l’elenco, la pagina dice se gli indirizzi locali sono visibili. I browser attuali li sostituiscono con un nome casuale che termina in .local, che a un sito non dice nulla. Un semplice indirizzo 192.168.x.x non riconduce a te nemmeno lui, ma è un dettaglio in più che un tracker può usare per distinguere i dispositivi.

«Nessun indirizzo pubblico» e «WebRTC è disattivato» vogliono dire entrambi che questa porta è chiusa. O il browser ha rifiutato di raccogliere candidati, o non è tornata nessuna risposta STUN.

Chiudere la fuga

Nell’applicazione della VPN

Cerca «WebRTC leak protection», «IPv6 leak protection» e «kill switch», e attivale tutte e tre. Se il provider non supporta IPv6, disattiva IPv6 sulla scheda di rete mentre sei connesso. Una VPN che esiste solo come estensione del browser protegge il traffico delle pagine e può lasciare stare WebRTC, quindi scegli l’applicazione completa.

Firefox

Apri about:config e imposta media.peerconnection.ice.default_address_only su true. WebRTC si limita allora al percorso predefinito, cioè il tunnel. Impostare media.peerconnection.enabled su false elimina WebRTC del tutto.

Chrome ed Edge

Non c’è un interruttore integrato. Google pubblica un’estensione, WebRTC Network Limiter, con l’opzione «Use my default public interface only». L’estensione uBlock Origin ha un’impostazione simile, «Prevent WebRTC from leaking local IP addresses».

Brave

Impostazioni, Privacy e sicurezza, «WebRTC IP handling policy»: scegli «Disable non-proxied UDP».

Dopo ogni modifica, ricarica questa pagina con la VPN connessa. L’obiettivo è che ogni riga pubblica sia segnata «Uguale» o «Stesso provider», o che non ci sia nessun indirizzo pubblico.