Hoe het werkt
Een lek betekent dat een deel van je verkeer de proxy of VPN omzeilt waarvan je denkt dat die wordt gebruikt, via je lokale netwerk naar buiten gaat en je echte IP-adres aan de andere kant prijsgeeft. Een proxyclient die “verbonden” toont, betekent niet dat elk verzoek onder zijn controle staat.
Voordat je een site bereikt, zet je apparaat de domeinnaam om in een IP-adres. Gaat die stap buiten de proxy om, dan ziet de resolver van je provider elk domein dat je bezoekt — ook als de verbinding daarna versleuteld is en netjes via de proxy loopt.
Meestal komt het doordat DNS-instellingen op systeemniveau voorrang krijgen op proxyregels, of doordat de proxyclient de DNS nooit heeft overgenomen.
WebRTC is de ingebouwde peer-to-peerstack van de browser, waarop videogesprekken en schermdelen draaien. Om een directe verbinding op te zetten vraagt het een STUN-server “wat is mijn publieke adres”, en dat verzoek kan om de proxy heen gaan.
Het resultaat: de pagina ziet het IP-adres van de proxy, terwijl WebRTC je echte doorgeeft. Dit is het klassieke lek, en het makkelijkst over het hoofd te zien.
Veel proxy's verwerken alleen IPv4. Heeft je netwerk ook IPv6 en ondersteunt de bestemming dat, dan kan de browser de voorkeur geven aan een directe IPv6-route — waardoor de proxy helemaal buitenspel staat.
Het teken is eenvoudig: toont deze pagina zowel een IPv4- als een IPv6-adres die bij verschillende netwerken horen, dan wordt je verkeer over de twee stacks verdeeld.
Strikt genomen is dit geen lek maar een tegenstrijdigheid. Systeemtijdzone, browsertaal en IP-locatie horen overeen te komen. Een Amerikaans IP-adres met een UTC+8-klok is op zichzelf een sterk signaal — een risicosysteem heeft je echte IP-adres niet nodig, alleen bewijs dat je er een verhult.
Het betekent dat de paden die deze controle dekt op dit moment schoon zijn. Extensies, andere applicaties en systeemupdates kunnen allemaal nieuwe lekpaden introduceren, dus test opnieuw na elke wijziging.
Schakel eerst “DNS via de proxy omzetten” of een vergelijkbare optie in je proxyclient in. Lukt dat niet, stel dan de systeem-DNS in op het adres dat de proxy aanbiedt. De instelling voor beveiligde DNS in de browser aanpassen geldt alleen voor dat ene proces.
Uitschakelen raden we niet aan: een Chromium-browser zonder WebRTC is op zichzelf herkenbaar. Beperk liever welke route het mag gebruiken: stel in Chrome / Edge het bedrijfsbeleid WebRtcIPHandling in op disable_non_proxied_udp, kies in Brave “Disable non-proxied UDP” en schakel in Firefox media.peerconnection.ice.proxy_only_if_behind_proxy in via about:config. De TUN-modus van je proxyclient is de betrouwbaarste oplossing.
Laat de proxy ook IPv6 afhandelen, of schakel IPv6 uit in de netwerkinstellingen van je systeem. Het laatste is grondiger, maar breekt diensten die alleen IPv6 gebruiken.