Многие персональные VPN раскрывают IP-адрес из-за бреши в WebRTC

Многие персональные VPN раскрывают IP-адрес из-за бреши в WebRTC

Многие персональные VPN раскрывают IP-адрес из-за бреши в WebRTC

Эксперт в области безопасности, известный под псевдонимом VoidSec (настоящее имя Паоло Станьо) обнаружил проблему с VPN-сервисами — оказалось, что 23% (16 из 70) протестированных решений раскрывают IP-адрес пользователей через WebRTC.

Вообще, проблемы у WebRTC с конфиденциальностью известны давно — как минимум с 2015 года. WebRTC представляет собой популярный проект с открытым исходным кодом, предназначенный для организации передачи потоковых данных между браузерами или другими поддерживающими его приложениями.

WebRTC часто взаимодействует с ICE (Interactive Connectivity Establishment) и серверами STUN (Session Traversal Utilities for NAT). VPN-решения, в свою очередь, используют STUN для преобразования локального IP-адреса пользователя VPN в общедоступный, во многом схема их работы похожа на то, как работает домашний маршрутизатор.

По словам VoidSec, WebRTC позволяет запросить информацию, которая должна оставаться конфиденциальной.

«WebRTC позволяет отправлять запросы на серверы STUN, которые возвращают “скрытый” домашний IP-адрес, а также адреса локальной сети», — говорит эксперт.

Такие запросы обычно не видны, поскольку они не являются частью стандартного взаимодействия XML-HTTP, но их можно осуществить с помощью JavaScript, утверждает специалист. Этот метод можно реализовать в любом браузере, который поддерживает WebRTC и JavaScript.

Во многих браузерах — Brave, Chrome (десктопная версия и для Android), Firefox, Samsung Internet Browser, Opera, Vivaldi — WebRTC и JavaScript включены по умолчанию.

Исследователь опубликовал список VPN-сервисов, которые допускают утечку конфиденциальной инфомрации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ограбление Лувра за восемь минут: система охраны имела пароль «Louvre»

В Париже расследуют одно из самых дерзких ограблений последних лет — из музея Лувр украли королевские украшения, которым несколько веков. Ценности до сих пор не найдены, а подробности случившегося больше напоминают сюжет фильма, чем реальную историю. Как выяснилось, пароль от системы видеонаблюдения музея был… «Louvre».

Об этом сообщает французская газета Libération со ссылкой на PCGamer. Ещё в 2014 году аудит, проведённый Национальным агентством кибербезопасности Франции, указал на эту уязвимость.

Позднейшие проверки выявили и другие проблемы — устаревшее программное обеспечение, которому уже больше 20 лет, и недостаточно защищённые входы на крышу во время строительных работ.

Само ограбление произошло утром в воскресенье, около 9:30 по местному времени, прямо во время работы музея. По данным полиции, четверо злоумышленников подъехали к зданию на небольшом грузовике с лестницей, прорезали стену на втором этаже и проникли в галерею.

Они угрожали охране и посетителям, но никто не пострадал. Через четыре минуты грабители покинули здание и скрылись в Париже. Вся операция заняла восемь минут.

Полиция уже задержала нескольких подозреваемых, четверым предъявлены обвинения. Однако похищенные украшения, стоимость которых оценивается в десятки миллионов долларов, пока не найдены.

Лувр, несмотря на свою репутацию одной из самых охраняемых галерей в мире, не впервые становится целью грабителей. Самый известный случай произошёл в 1911 году, когда украли «Мону Лизу». Последнее подобное ограбление случилось в 1998 году — и вот, спустя почти тридцать лет, история повторилась.

Эксперты отмечают, что трагикомичная деталь с паролем «Louvre» наглядно показывает: информационная безопасность может быть не менее важна, чем сигнализация и замки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru