Kiểm tra rò rỉ WebRTC
WebRTC cho phép trình duyệt tự phát hiện các địa chỉ mạng của chính nó để thiết lập cuộc gọi và video chat — và bất kỳ website nào cũng có thể kích hoạt việc đó một cách âm thầm. Bài kiểm tra này cho thấy chính xác trình duyệt của bạn để lộ những địa chỉ nào và có địa chỉ nào là địa chỉ thật của bạn phía sau VPN hay proxy không.
Trình duyệt thu thập các ICE candidate qua máy chủ STUN của chính chúng tôi; mọi địa chỉ công khai trong đó được so với địa chỉ mà website thấy qua HTTP.
Đang kiểm tra
| Loại | Địa chỉ | Port | Giao thức | Họ | Phạm vi |
|---|---|---|---|---|---|
| srflx | 203.0.113.5 | 51234 | udp | IPv4 | public |
Cách sửa cho trình duyệt của bạn
Chrome
- Chrome không có công tắc trong phần cài đặt. Hãy cài một tiện ích đặt chính sách xử lý IP của WebRTC — tiện ích “WebRTC Network Limiter” của chính Google có tùy chọn này — và chọn “Disable non-proxied UDP” (ở đó ghi là dùng máy chủ proxy của bạn, ép UDP qua proxy hoặc quay về TCP).
- Hoặc dùng tiện ích trình duyệt của nhà cung cấp VPN nếu có bảo vệ WebRTC, hoặc trên thiết bị được quản lý, dùng chính sách WebRtcIPHandling (giá trị disable_non_proxied_udp; Chrome 135+ còn chấp nhận quy tắc theo trang với WebRtcIPHandlingUrl).
- Địa chỉ nội bộ đã được ẩn sẵn: Chrome 74+ thay chúng bằng tên mDNS. Chrome trên Android và iOS không có thiết lập tương đương; hãy dựa vào kill switch của ứng dụng VPN.
- Chạy lại bài kiểm tra này.
Firefox
- Mở about:config và chấp nhận cảnh báo.
- Đặt media.peerconnection.ice.default_address_only thành true để chỉ dùng tuyến mặc định (VPN khi đang kết nối), và media.peerconnection.ice.no_host thành true để loại bỏ địa chỉ nội bộ.
- Nếu bạn duyệt web qua proxy, hãy đặt thêm media.peerconnection.ice.proxy_only_if_behind_proxy thành true để WebRTC đi qua proxy hoặc không đi đâu cả.
- Để tắt hẳn WebRTC, đặt media.peerconnection.enabled thành false (cuộc gọi trên trình duyệt sẽ ngừng hoạt động). Firefox đã ẩn sẵn địa chỉ nội bộ sau tên mDNS.
- Chạy lại bài kiểm tra này.
Safari
- Safari không có công tắc WebRTC. Nó cấp candidate STUN (server-reflexive) mà không hỏi gì và chỉ để lộ candidate nội bộ — dưới dạng tên mDNS — sau khi một trang được cấp quyền camera hoặc micro.
- Do đó, một rò rỉ được báo ở đây nghĩa là UDP đã rời khỏi đường hầm VPN: hãy dùng VPN có kill switch và hỗ trợ IPv6, và tránh dùng proxy để ẩn danh (proxy không bao giờ truyền UDP).
- Trên iPhone và iPad, Lockdown Mode (Cài đặt › Quyền riêng tư & Bảo mật) tắt hoàn toàn WebRTC, qua đó cũng chặn rò rỉ.
- Đừng bật Develop › WebRTC › Disable ICE Candidate Restrictions: đó là tùy chọn dành cho lập trình viên và để lộ nhiều hơn chứ không ít đi.
- Chạy lại bài kiểm tra này.
Edge
- Edge cũng không có công tắc cho người dùng. Hãy dùng một tiện ích đặt chính sách xử lý IP của WebRTC thành “Disable non-proxied UDP”, hoặc tiện ích của nhà cung cấp VPN.
- Trên thiết bị được quản lý, đặt chính sách WebRtcLocalhostIpHandling, hoặc trong Edge 135+ dùng WebRtcIPHandlingUrl với cách xử lý disable_non_proxied_udp cho mẫu *.
- Edge trên Android và iOS không đổi được thiết lập này; hãy dùng bảo vệ rò rỉ của ứng dụng VPN.
- Chạy lại bài kiểm tra này.
Brave
- Mở Settings › Privacy and security (brave://settings/privacy).
- Dưới mục WebRTC IP handling policy, chọn “Disable non-proxied UDP”. “Default public interface only” cũng ngăn lộ địa chỉ nội bộ mà vẫn giữ UDP.
- Brave Shields với bảo vệ chống fingerprint đã áp dụng sẵn chính sách non-proxied-UDP; tùy chọn tương tự có trong Brave cho Android dưới Settings › Privacy and security.
- Chạy lại bài kiểm tra này.
Trình duyệt khác
- Các trình duyệt nền Chromium (Opera, Vivaldi, Samsung Internet) chấp nhận cùng các tiện ích và chính sách WebRtcIPHandling như Chrome.
- Nếu không có thiết lập nào, kill switch hoặc tùy chọn “chặn WebRTC” của ứng dụng VPN là cách sửa.
- Chạy lại bài kiểm tra này.
Sau khi đổi thiết lập, hãy chạy lại bài kiểm tra: kết quả phải là Không rò rỉ hoặc Bị chặn.
Chạy kiểm tra rò rỉ WebRTC
Bài kiểm tra chạy trong trình duyệt của bạn. Nó mở một kết nối WebRTC tới máy chủ STUN của chính chúng tôi (không bao giờ của bên thứ ba), thu thập các ICE candidate mà trình duyệt tạo ra, và so mọi địa chỉ công khai trong đó với địa chỉ mà website thấy qua HTTP. Mất chưa tới một giây; không có gì từ các candidate được gửi tới máy chủ của chúng tôi.
Các địa chỉ IP WebRTC của bạn
Mỗi hàng candidate hiển thị địa chỉ, loại và phạm vi của nó. Chỉ địa chỉ công khai mới ảnh hưởng tới kết luận; các mục riêng và mDNS cùng lắm để lộ cấu trúc mạng của bạn, không bao giờ là danh tính.
IP công khai qua STUN
Candidate srflx (server-reflexive) là địa chỉ mà máy chủ STUN của chúng tôi thấy gói UDP của bạn xuất phát. Với VPN hoạt động tốt, nó bằng địa chỉ VPN của bạn. Nếu khác, UDP đã rời thiết bị bên ngoài đường hầm và địa chỉ thật bị lộ — đó chính là rò rỉ.
IP nội bộ / candidate mDNS
Candidate host là địa chỉ các giao diện mạng nội bộ của bạn. Chrome, Edge, Firefox và Safari hiện tại thay chúng bằng một tên mDNS ngẫu nhiên dạng ….local để website không đọc được địa chỉ LAN của bạn; trình duyệt cũ và một số thiết lập vẫn hiển thị địa chỉ kiểu 192.168.x.x, để lộ cấu trúc mạng nhà bạn nhưng không phải danh tính công khai.
Rò rỉ WebRTC là gì?
VPN hoặc proxy chặn lưu lượng mà bạn gửi qua nó; WebRTC lại hỏi thẳng hệ điều hành về đường đi tốt nhất tới máy chủ STUN, và hệ điều hành có thể trả lời qua giao diện vật lý. Proxy không bao giờ truyền UDP, nên với người dùng proxy, bất kỳ kết quả STUN công khai nào theo định nghĩa đều nằm ngoài proxy. Kết quả là một website biết được địa chỉ công khai thật của bạn trong khi thanh địa chỉ, cookie và mọi thứ khác đều hiển thị VPN. Bài WebRTC là gì giải thích giao thức này.
Cách ngăn rò rỉ WebRTC
Bạn có thể ngăn WebRTC dùng các giao diện không qua đường hầm, hoặc tắt hẳn nó. Tắt hẳn làm hỏng cuộc gọi video trong trình duyệt, nên hãy ưu tiên các tùy chọn hạn chế.
Chrome và Edge
Chrome không có công tắc sẵn. Hãy cài một tiện ích đặt WebRTC IP handling policy thành Disable non-proxied UDP (chính sách mà API tiện ích của Chrome cung cấp), hoặc dùng tiện ích của nhà cung cấp VPN nếu nó có bảo vệ WebRTC. Quản trị viên doanh nghiệp có thể đặt chính sách WebRtcIPHandling tập trung.
Firefox
Mở about:config. Đặt media.peerconnection.ice.default_address_only thành true để giới hạn WebRTC vào tuyến mặc định (là VPN khi đang kết nối), và media.peerconnection.ice.no_host thành true để ẩn địa chỉ nội bộ. Để tắt hoàn toàn WebRTC, đặt media.peerconnection.enabled thành false.
Safari
Safari ẩn địa chỉ nội bộ sau mDNS và chỉ thu thập candidate STUN khi một trang thực sự thiết lập cuộc gọi hoặc kênh dữ liệu. Không có công tắc cho người dùng; trên iOS, Lockdown Mode chặn hoàn toàn WebRTC. Nếu bài kiểm tra này báo rò rỉ trên Safari, cách sửa nằm ở cách VPN xử lý IPv6/UDP chứ không phải thiết lập trình duyệt.
Brave
Settings › Privacy and security › WebRTC IP handling policy: chọn Disable non-proxied UDP. Brave Shields đã chặn sẵn các kiểu dùng fingerprint phổ biến nhất.
Tiện ích mở rộng
Các tiện ích chặn WebRTC hoạt động bằng cách đặt cùng chính sách xử lý IP; chúng không làm được nhiều hơn những gì trình duyệt cho phép. Hãy kiểm tra rằng tiện ích không chỉ giấu kết quả khỏi bài kiểm tra này trong khi rò rỉ vẫn tiếp diễn: sau khi cài, chạy lại và xác nhận trạng thái là bị chặn hoặc không rò rỉ, chứ không chỉ là một danh sách trống.
Câu hỏi thường gặp
Làm sao tắt WebRTC?
Firefox: đặt media.peerconnection.enabled thành false trong about:config. Chrome, Edge và Brave: đặt chính sách xử lý IP của WebRTC thành Disable non-proxied UDP (Brave trong phần cài đặt, Chrome/Edge qua tiện ích hoặc chính sách doanh nghiệp). Safari không có công tắc; Lockdown Mode trên iOS tắt nó. Chạy lại bài kiểm tra này để xác nhận.
WebRTC có phải rủi ro bảo mật không?
Bản thân WebRTC an toàn — media và dữ liệu đều được mã hóa. Vấn đề riêng tư nằm ở việc phát hiện địa chỉ: một trang có thể biết địa chỉ công khai và đôi khi cả địa chỉ nội bộ của bạn mà không cần hỏi, điều quan trọng chủ yếu nếu bạn trông cậy vào VPN hoặc proxy để ẩn chúng.
Chặn WebRTC có tốt không?
Nếu bạn dùng VPN hoặc proxy và bài kiểm tra này báo rò rỉ, hạn chế WebRTC là việc nên làm. Chặn hoàn toàn sẽ làm hỏng cuộc gọi trên trình duyệt và một số trang họp trực tuyến; chính sách disable non-proxied UDP vẫn giữ cuộc gọi hoạt động qua đường hầm và là mặc định tốt hơn.
Điều gì xảy ra khi phát hiện rò rỉ IP qua WebRTC?
Địa chỉ bị WebRTC để lộ hiển thị với website — trang có thể ghi lại, định vị và kết hợp với địa chỉ thấy qua HTTP. Bài kiểm tra của chúng tôi không “gửi” gì đi đâu; rò rỉ chỉ tồn tại giữa trình duyệt của bạn và các trang chọn thu thập nó. Hãy áp dụng một trong các cách sửa ở trên rồi kiểm tra lại.
Tiện ích WebRTC làm gì?
Tiện ích WebRTC đặt chính sách xử lý IP của trình duyệt để các candidate chỉ được thu thập qua tuyến mặc định (đã qua đường hầm), hoặc không thu thập gì cả. Một số còn loại bỏ địa chỉ nội bộ. Chúng không mã hóa hay chuyển hướng lưu lượng; đó là việc của VPN.
WebRTC Shield là gì?
“WebRTC Shield” và các tên tương tự được nhiều tiện ích và ứng dụng VPN dùng cho tính năng áp dụng chính sách hạn chế mô tả ở trên. Dù tên gọi là gì, hãy xác nhận nó hoạt động bằng cách chạy lại bài kiểm tra này: trạng thái phải là không rò rỉ hoặc bị chặn.
ICE candidate: trình duyệt của bạn với stun.checkmyip.com (máy chủ của chính chúng tôi, UDP và TCP, IPv4 và IPv6); địa chỉ HTTP: probe.checkmyip.com. Phép so sánh chạy trong trình duyệt của bạn; candidate không bao giờ được gửi tới chúng tôi.