Jak to działa
Wyciek oznacza, że część Twojego ruchu omija proxy lub VPN, przez które według Ciebie przechodzi, wychodzi przez sieć lokalną i ujawnia drugiej stronie Twoje prawdziwe IP. To, że klient proxy pokazuje „połączono”, nie znaczy, że kontroluje każde żądanie.
Zanim urządzenie połączy się z serwisem, tłumaczy domenę na adres IP. Jeśli ten krok omija proxy, resolver Twojego dostawcy internetu widzi każdą odwiedzaną domenę — nawet gdy następujące potem połączenie jest szyfrowane i prawidłowo przechodzi przez proxy.
Najczęstsze przyczyny to systemowe ustawienia DNS mające pierwszeństwo przed regułami proxy albo klient proxy, który w ogóle nie przejął obsługi DNS.
WebRTC to wbudowany w przeglądarkę mechanizm komunikacji peer-to-peer, na którym działają rozmowy wideo i udostępnianie ekranu. Aby zestawić bezpośrednie połączenie, pyta serwer STUN „jaki jest mój publiczny adres”, a to zapytanie może ominąć proxy.
Efekt: strona widzi IP serwera proxy, a WebRTC przekazuje Twoje prawdziwe. To klasyczny wyciek i najłatwiej go przeoczyć.
Wiele serwerów proxy obsługuje tylko IPv4. Jeśli Twoja sieć ma też IPv6, a serwis docelowy je obsługuje, przeglądarka może wybrać bezpośrednią trasę IPv6 — z całkowitym pominięciem proxy.
Łatwo to rozpoznać: jeśli ta strona pokazuje jednocześnie adres IPv4 i IPv6 należące do różnych sieci, Twój ruch rozdziela się między dwa stosy.
Ściśle biorąc, to nie wyciek, lecz sprzeczność. Strefa czasowa systemu, język przeglądarki i lokalizacja IP powinny do siebie pasować. Amerykańskie IP z zegarem UTC+8 to samo w sobie silny sygnał — system antyfraudowy nie potrzebuje Twojego prawdziwego IP, wystarczy mu dowód, że je ukrywasz.
Oznacza to, że ścieżki objęte tym testem są w tej chwili szczelne. Rozszerzenia, inne aplikacje i aktualizacje systemu mogą otworzyć nowe drogi wycieku, więc po każdej zmianie testuj ponownie.
Najpierw włącz w kliencie proxy opcję „rozwiązuj DNS przez proxy” lub jej odpowiednik. Jeśli to nie pomoże, ustaw systemowy DNS na adres podany przez proxy. Zmiana ustawienia bezpiecznego DNS w przeglądarce obejmuje tylko ten jeden proces.
Wyłączanie nie jest zalecane: przeglądarka Chromium bez WebRTC sama w sobie jest rozpoznawalna. Zamiast tego ogranicz, której trasy może używać: w Chrome / Edge ustaw zasadę dla przedsiębiorstw WebRtcIPHandling na disable_non_proxied_udp, w Brave wybierz „Disable non-proxied UDP”, a w Firefox włącz media.peerconnection.ice.proxy_only_if_behind_proxy w about:config. Najpewniejszym rozwiązaniem jest tryb TUN w kliencie proxy.
Albo niech proxy obsługuje również IPv6, albo wyłącz IPv6 w systemowych ustawieniach sieci. Drugi sposób jest skuteczniejszy, ale psuje usługi dostępne tylko przez IPv6.