Tổng quan nội dung: Khi kiểm tra nghiệp vụ và phát hiện rò rỉ WebRTC, bạn nên dừng ngay việc đăng nhập hoặc thao tác trên các tài khoản quan trọng, đóng môi trường hiện tại, sau đó kiểm tra kết nối proxy, chế độ WebRTC, IPv6 và quy tắc bỏ qua proxy. Đối với người dùng MostLogin, cách xử lý phổ biến là: xác nhận kiểm tra proxy thành công, đặt WebRTC của môi trường về Private (Riêng tư); nếu nghiệp vụ hoàn toàn không cần âm thanh/hình ảnh trên web hoặc giao tiếp ngang hàng, bạn cũng có thể chọn Disabled (Tắt); đồng thời bật quy tắc bảo vệ ngăn mở môi trường khi proxy gặp sự cố.
Cần lưu ý rằng việc trang kiểm tra hiển thị nhiều địa chỉ chưa chắc đã là rò rỉ. Chỉ khi trang để lộ IPv4 công cộng thực, IPv6 công cộng thực của bạn, hoặc xuất hiện lối ra mạng không liên quan đến môi trường này, thì mới là vấn đề rủi ro cao cần xử lý ngay.
WebRTC là gì? Tại sao nó có thể bỏ qua cài đặt proxy thông thường?
WebRTC là viết tắt của Web Real-Time Communication, tức "Giao tiếp thời gian thực trên web". Nó cho phép trình duyệt thực hiện cuộc gọi thoại, hội nghị truyền hình, chia sẻ màn hình và truyền dữ liệu ngang hàng trực tiếp, được sử dụng trong nhiều công cụ họp trực tuyến, chăm sóc khách hàng và cộng tác.
Để tìm đường kết nối khả dụng giữa hai thiết bị, WebRTC thu thập nhiều "ứng viên" thông qua ICE. Các ứng viên này có thể bao gồm địa chỉ giao diện mạng của thiết bị, địa chỉ ánh xạ công cộng được phát hiện qua máy chủ STUN và địa chỉ được chuyển tiếp qua máy chủ TURN. Theo mô tả của MDN về các loại ứng viên ICE, ứng viên host đại diện cho địa chỉ trực tiếp của thiết bị, ứng viên srflx được tạo bởi tương tác STUN/TURN, và ứng viên relay đi qua tiếp sóng TURN. Mô tả kết nối WebRTC của MDN
Đây cũng là nguyên nhân cơ bản gây rò rỉ WebRTC: trang web tạo kết nối WebRTC qua JavaScript và đọc các ứng viên ICE, nếu trình duyệt không hạn chế đúng các địa chỉ này, thông tin mạng mà trang thấy có thể không khớp với lối ra proxy. MDN cũng chỉ rõ rằng địa chỉ ứng viên ICE có thể để lộ thông tin về vị trí thiết bị và cấu trúc mạng vượt quá mong đợi của người dùng, và có thể được sử dụng để nhận dạng vân tay trình duyệt. Mô tả bảo mật RTCIceCandidate của MDN
Hiểu đơn giản: Yêu cầu trang web thông thường có thể đi qua proxy, nhưng WebRTC còn tìm riêng đường giao tiếp thời gian thực. Khi hai đường không được kiểm soát thống nhất, trang web có thể đồng thời thấy "IP proxy" và "một nhóm địa chỉ mạng khác".
Như thế nào mới được coi là rò rỉ WebRTC?
Việc xác định rò rỉ không chỉ dựa vào việc trang kiểm tra có hiển thị IP hay không, mà phải so sánh "trang hiển thị gì" với "môi trường lẽ ra phải hiển thị gì".
| Kết quả kiểm tra | Có phải rò rỉ không | Đánh giá rủi ro |
|---|---|---|
| IP công cộng WebRTC khớp với IP proxy do MostLogin phát hiện | Thường không phải | Bình thường, tiếp tục kiểm tra DNS, múi giờ và vị trí địa lý có nhất quán không |
| Hiển thị IP công cộng thực của mạng gia đình, mạng công ty hoặc điểm phát sóng di động | Phải | Rủi ro cao, nên dừng ngay thao tác tài khoản trong môi trường hiện tại |
| Proxy là IPv4 nhưng trang kiểm tra hiển thị IPv6 công cộng thực | Phải | Rủi ro cao, cho thấy IPv6 có thể không được proxy bao phủ |
Hiển thị địa chỉ riêng tư như 192.168.x.x, 10.x.x.x | Chưa chắc | Đây là lộ thông tin mạng LAN, thường không phải rò rỉ lối ra công cộng, nhưng làm tăng thông tin vân tay mạng |
Hiển thị tên .local ngẫu nhiên | Thường không phải | Đa số trường hợp là kết quả trình duyệt sử dụng mDNS để ẩn địa chỉ cục bộ |
| Hiển thị nhiều địa chỉ nhưng tất cả thuộc cùng một proxy hoặc lối ra tiếp sóng | Thường không phải | Có thể là IPv4, IPv6 hoặc các loại ứng viên ICE khác nhau |
Trình duyệt hiện đại có thể dùng tên máy chủ mDNS thay cho IP mạng LAN, do đó kết quả trang kiểm tra hiển thị chuỗi ngẫu nhiên kết thúc bằng .local không có nghĩa là để lộ IP công cộng thực. Điều thực sự cần quan tâm là: có xuất hiện địa chỉ ISP công cộng thực mà bạn tra cứu được bên ngoài môi trường trình duyệt hay không.
Rò rỉ WebRTC gây ra hậu quả gì?
1. Xung đột giữa danh tính proxy và danh tính mạng thực
Giả sử một môi trường MostLogin được cấu hình proxy New York, Mỹ, yêu cầu trang web cũng hiển thị IP New York, nhưng WebRTC lại để lộ IP công cộng thực của mạng cục bộ người dùng. Nền tảng thấy được không phải là một môi trường duyệt web tự nhiên và ổn định, mà là hai tín hiệu kết nối xung đột về vị trí địa lý hoặc nhà mạng.
Điều này không tự động chứng minh người dùng là ai, nhưng sẽ làm giảm hiệu quả cách ly của proxy, và có thể trở thành một trong các tín hiệu kích hoạt kiểm soát rủi ro bất thường, xác minh bổ sung hoặc xem xét phiên.
2. Các môi trường trình duyệt khác nhau có thể bị liên kết qua cùng một IP thực
Nhóm đã tạo nhiều môi trường độc lập cho các dự án kiểm tra khác nhau, mỗi môi trường sử dụng proxy khác nhau. Nếu tất cả các môi trường này đều để lộ cùng một IP công cộng của văn phòng qua WebRTC, trang web có thể thu được tín hiệu liên kết lặp lại xuyên suốt các môi trường. Ngay cả khi Cookie, Canvas và WebGL đều được cách ly, lối ra mạng thực lặp lại vẫn làm giảm tính độc lập giữa các môi trường.
3. Để lộ vị trí gần đúng, nhà mạng và cấu trúc mạng
IP công cộng thường có thể được sử dụng để xác định quốc gia, khu vực cấp thành phố và nhà mạng; địa chỉ mạng LAN, IPv6 hoặc các giao diện mạng khác nhau còn có thể tiết lộ thêm đặc điểm cấu trúc mạng. IP thường không thể một mình xác định địa chỉ chính xác hoặc tên thật, nhưng nó có thể được kết hợp với tài khoản đăng nhập, Cookie, vân tay thiết bị và dữ liệu hành vi.
4. Hội nghị truyền hình và cuộc gọi web có thể gặp đánh đổi giữa "quyền riêng tư và khả năng sử dụng"
Tắt trực tiếp WebRTC thường có thể giảm bề mặt phơi nhiễm liên quan, nhưng hội nghị truyền hình, chăm sóc khách hàng bằng thoại, chia sẻ màn hình hoặc truyền tệp trực tiếp phụ thuộc vào WebRTC có thể không hoạt động bình thường. Do đó, cách làm đúng không phải là tắt trong mọi trường hợp, mà là chọn giữa Private và Disabled tùy theo nhu cầu nghiệp vụ.
Trình duyệt chống phát hiện hiển thị rò rỉ WebRTC, hãy làm 6 bước này trước
Bước 1: Tạm dừng thao tác nhạy cảm trong môi trường hiện tại
Nếu trang kiểm tra đã hiển thị IP công cộng thực, không tiếp tục đăng nhập, thanh toán, đăng nội dung hoặc chuyển đổi tài khoản quan trọng. Trước tiên ghi lại kết quả kiểm tra, bao gồm:
- Địa chỉ hiển thị trên kiểm tra IP thông thường;
- IPv4 và IPv6 hiển thị trên kiểm tra WebRTC;
- Địa chỉ proxy và quốc gia/vùng đã cấu hình trong MostLogin;
- Thời gian kiểm tra, tên môi trường và có sử dụng VPN hay không.
Ghi lại thông tin nhằm xác định vấn đề, không nên giữ mật khẩu proxy, Cookie tài khoản hoặc thông tin xác thực khác trong ảnh chụp màn hình.
Bước 2: Thiết lập bảng đối chiếu "IP thực — IP proxy — IP WebRTC"
Tiến hành ba nhóm kiểm tra mà không mở tài khoản nghiệp vụ:
- Trong trình duyệt thông thường và không sử dụng proxy, tra cứu IPv4 và IPv6 công cộng hiện tại làm đường cơ sở mạng thực.
- Trong thẻ
Proxycủa MostLogin, nhấn kiểm tra IP proxy và ghi lại lối ra dự kiến. - Mở môi trường tương ứng và đọc địa chỉ ứng viên trên trang kiểm tra WebRTC.
Nếu kết quả WebRTC bằng với đường cơ sở nhóm 1 mà không bằng lối ra proxy nhóm 2, cơ bản có thể xác nhận tồn tại rò rỉ. Nếu kết quả khớp với IP proxy, thì rất có thể là hiển thị ứng viên WebRTC bình thường.
Bước 3: Sửa proxy trước, rồi điều chỉnh WebRTC
Cài đặt WebRTC không thể khắc phục một proxy đã offline, xác thực thất bại hoặc cấu hình sai. Vào trang chỉnh sửa môi trường mục tiêu, mở thẻ Proxy, kiểm tra giao thức, máy chủ, cổng, tài khoản và mật khẩu, sau đó thực hiện kiểm tra IP proxy. Hướng dẫn tạo môi trường chính thức của MostLogin cho biết hiện có thể cấu hình direct, http, https và socks5, và có thể xác minh kết quả kết nối qua "Check proxy IP". MostLogin: Tạo môi trường mới
Chỉ khi kiểm tra proxy thành công và quốc gia/thành phố hiển thị đúng như mong đợi, mới tiếp tục bước tiếp theo.
Bước 4: Chọn chế độ WebRTC phù hợp trong MostLogin
Đường dẫn thao tác thường là:
Profiles (Danh sách môi trường) → Chọn môi trường mục tiêu → Edit (Chỉnh sửa) → Fingerprint (Vân tay) → WebRTC
Tài liệu chính thức hiện tại của MostLogin hiển thị cài đặt thả xuống WebRTC, trong đó Private dùng để ẩn IP thực khi giữ chức năng WebRTC, ngoài ra còn có thể cung cấp Public và Disabled. MostLogin: Hướng dẫn cài đặt vân tay WebRTC
| Chế độ | Trường hợp khuyến nghị | Lưu ý |
|---|---|---|
| Private | Trang web hàng ngày, cần âm thanh/hình ảnh trình duyệt, công cụ chăm sóc khách hàng hoặc cộng tác | Ưu tiên chọn; sau khi lưu phải kiểm tra lại, xác nhận kết quả khớp với proxy |
| Disabled | Môi trường hoàn toàn không cần hội nghị truyền hình, thoại hoặc chức năng P2P | Ranh giới riêng tư rõ ràng hơn, nhưng chức năng trang web liên quan có thể thất bại |
| Public | Chỉ dành cho kiểm tra phát triển hoặc tương thích cần công khai ứng viên mạng thực | Không phù hợp với môi trường proxy cần ẩn lối ra mạng thực |
Đối với môi trường proxy thông thường, khuyên dùng Private trước. Chỉ khi nghiệp vụ không phụ thuộc WebRTC, hoặc chế độ Private vẫn không đáp ứng yêu cầu cách ly, mới thử Disabled. Không nên chỉ vì trang kiểm tra hiển thị "WebRTC enabled" mà kết luận có rò rỉ; quan trọng là nó trả về địa chỉ nào.
Bước 5: Bật bảo vệ sự cố proxy và kiểm tra danh sách bỏ qua proxy
Vào cài đặt toàn cục hoặc cài đặt tùy chọn môi trường của MostLogin, bật các bảo vệ sau:
- Không mở môi trường khi mạng proxy gặp lỗi;
- Không mở môi trường khi IP proxy thay đổi;
- Không mở môi trường khi quốc gia hoặc vùng của IP proxy thay đổi;
- Không mở môi trường khi đồng bộ hóa môi trường thất bại.
MostLogin chính thức mô tả các cài đặt này là biện pháp bảo vệ trước khi khởi động, trong đó bảo vệ lỗi mạng proxy ngăn chặn vô tình để lộ IP ISP thực khi proxy mất hiệu lực. MostLogin: Profile preferences
Cũng cần kiểm tra Settings → Proxy bypass. Các tên miền được thêm vào danh sách bỏ qua sẽ sử dụng mạng cục bộ trực tiếp thay vì proxy của môi trường hiện tại. Tài liệu chính thức của MostLogin cũng nêu rõ rằng các tên miền bị bỏ qua sẽ được truy cập qua kết nối cục bộ thực. MostLogin: Proxy bypass Nếu trang kiểm tra, tên miền xác thực danh tính hoặc API/CDN của chúng nằm trong danh sách này, nên xóa các ngoại lệ không cần thiết và lưu lại.
Bước 6: Đóng hoàn toàn và mở lại môi trường, tiến hành kiểm tra chéo
Sau khi lưu cài đặt, đóng toàn bộ môi trường trình duyệt rồi khởi động lại, không chỉ làm mới trang kiểm tra. Sử dụng ít nhất hai trang kiểm tra độc lập để kiểm tra riêng biệt:
- IP công cộng thông thường mà trình duyệt hiển thị ra bên ngoài;
- IPv4 trong ứng viên WebRTC;
- IPv6 trong ứng viên WebRTC;
- DNS, múi giờ, ngôn ngữ và vị trí địa lý có khớp với vùng proxy không.
Tiêu chuẩn đạt kiểm tra lại là: trang kiểm tra không còn xuất hiện IPv4/IPv6 công cộng ISP thực; địa chỉ công cộng WebRTC hiển thị phải khớp với proxy, lối ra tiếp sóng hoặc hành vi dự kiến của sản phẩm; kết quả vẫn ổn định sau khi khởi động lại môi trường.
Ví dụ sử dụng MostLogin: Môi trường proxy New York bị phát hiện IPv6 thực
Tình huống
Nhóm QA trang web xuyên khu vực đã tạo môi trường MostLogin tên US-NewYork-QA-01, kiểm tra proxy HTTP hiển thị IPv4 New York, Mỹ. Mở trang kiểm tra, IP thông thường vẫn là New York, nhưng khu vực WebRTC xuất hiện một IPv6 công cộng từ nhà mạng cục bộ.
Chẩn đoán
Đây là rò rỉ thực sự, không phải trường hợp bình thường "xuất hiện nhiều IP". Nguyên nhân là proxy HTTP đã bao phủ yêu cầu IPv4, nhưng đường dẫn mạng IPv6 của máy chủ không được xử lý tương đương, ứng viên WebRTC vẫn có thể để lộ địa chỉ này.
Xử lý
- Đóng môi trường, tránh tiếp tục kiểm tra đăng nhập.
- Kiểm tra dịch vụ proxy có hỗ trợ IPv6 rõ ràng không; nếu không, sử dụng giải pháp proxy bao phủ đầy đủ IPv4/IPv6, hoặc tắt đường dẫn IPv6 không được bảo vệ ở tầng mạng hệ thống.
- Chỉnh sửa môi trường, trong
Fingerprint → WebRTCchọn Private. - Bật "Không mở môi trường khi mạng proxy gặp lỗi".
- Kiểm tra danh sách bỏ qua proxy, xóa các tên miền ngoại lệ liên quan đến trang kiểm tra.
- Mở lại môi trường và kiểm tra lại, xác nhận IPv6 thực không còn xuất hiện.
Trong tình huống này, chỉ thay đổi chế độ WebRTC có thể tạm thời loại bỏ kết quả kiểm tra, nhưng việc proxy bao phủ IPv6 vẫn là vấn đề cơ bản, do đó cần kiểm tra cả hai.
Ví dụ sử dụng MostLogin: Trang kiểm tra xuất hiện .local nhưng IP công cộng khớp với proxy
Tình huống
Người dùng sử dụng proxy Anh, IP thông thường và địa chỉ công cộng WebRTC đều hiển thị Anh; trang kiểm tra còn liệt kê một chuỗi ngẫu nhiên kết thúc bằng .local, nên đã nhầm tưởng xảy ra rò rỉ.
Đánh giá
.local thường là biểu hiện trình duyệt sử dụng tên mDNS để ẩn địa chỉ mạng cục bộ. Chỉ cần không xuất hiện IPv4/IPv6 công cộng ISP thực, và ứng viên công cộng khớp với proxy Anh, thì không thể chỉ dựa vào .local để xác định rò rỉ IP thực.
Xử lý
Giữ nguyên cài đặt Private hiện tại, ghi lại kết quả và đổi trang kiểm tra để xác minh chéo. Lúc này việc thường xuyên chuyển đổi proxy, ngẫu nhiên hóa vân tay hoặc xây dựng lại môi trường ngược lại có thể khiến môi trường kiểm tra vốn dĩ ổn định tạo ra nhiều biến động hơn.
Ví dụ sử dụng MostLogin: Sau khi tắt WebRTC, hội nghị truyền hình không thể kết nối
Tình huống
Nhóm hỗ trợ từ xa đặt WebRTC về Disabled, cuộc gọi chăm sóc khách hàng qua web và chia sẻ màn hình không thể thiết lập kết nối.
Xử lý
Đổi môi trường sang Private, giữ kết nối proxy bình thường, rồi kiểm tra lại địa chỉ WebRTC. Nếu IP thực không còn xuất hiện, đồng thời âm thanh/hình ảnh phục hồi, thì có thể兼顾 chức năng và cách ly mạng. Nếu chế độ Private vẫn rò rỉ, cần kiểm tra giao thức proxy, IPv6, phân chia VPN và tên miền bypass, thay vì chọn Public chỉ để phục hồi cuộc gọi.
Sau khi sửa vẫn rò rỉ, vấn đề có thể ở đâu?
Nếu MostLogin đã đặt về Private nhưng kiểm tra vẫn hiển thị IP công cộng thực, có thể tiếp tục kiểm tra theo thứ tự sau:
- Proxy thực tế chưa kết nối. Khi thông tin xác thực sai, nút hết hạn hoặc máy chủ proxy offline, trình duyệt có thể không nhận được lối ra dự kiến.
- IPv6 chưa được bao phủ. Proxy chỉ xử lý IPv4, máy chủ vẫn có thể truy cập mạng qua IPv6 thực.
- Quy tắc bỏ qua proxy. Trang kiểm tra hoặc tên miền phụ liên quan được đặt kết nối trực tiếp.
- Phân chia VPN hoặc xung đột định tuyến hệ thống. Sử dụng đồng thời VPN, proxy hệ thống và proxy môi trường có thể tạo ra các đường dẫn mạng khác nhau.
- Tiến trình môi trường cũ vẫn chạy. Sau khi lưu cài đặt chưa đóng hoàn toàn môi trường, tiến trình cũ vẫn sử dụng cấu hình ban đầu.
- Tiện ích mở rộng trình duyệt thay đổi hành vi mạng. Tiện ích VPN, proxy, quyền riêng tư hoặc WebRTC có thể xung đột với cài đặt môi trường.
- Trang kiểm tra phán đoán sai hoặc bộ nhớ đệm. Sử dụng trang kiểm tra thứ hai và khởi động lại môi trường để xác minh, không kết luận dựa trên kết quả duy nhất.
Nếu hai trang kiểm tra độc lập đều ổn định hiển thị cùng một địa chỉ công cộng thực, nên lưu ảnh chụp màn hình không chứa thông tin xác thực nhạy cảm, số phiên bản MostLogin, hệ điều hành, giao thức proxy và các bước tái hiện, sau đó liên hệ bộ phận hỗ trợ MostLogin hoặc nhà cung cấp dịch vụ proxy.
Danh sách kiểm tra chống rò rỉ WebRTC
Sau khi tạo môi trường mới lần đầu, thay đổi proxy, cập nhật client hoặc chuyển mạng, thực hiện một lần kiểm tra sau:
Câu hỏi thường gặp
WebRTC kiểm tra hiển thị nhiều IP, có chắc chắn là rò rỉ không?
Chưa chắc. Nhiều kết quả có thể đến từ IPv4, IPv6, giao diện mạng LAN, ánh xạ STUN, tiếp sóng TURN hoặc mDNS. Chỉ khi xuất hiện IP công cộng ISP thực, lối ra mạng không liên quan, hoặc địa chỉ công cộng xung đột rõ ràng với vị trí proxy, mới nên coi là rò rỉ rủi ro cao.
Sau khi sử dụng proxy, WebRTC nên hiển thị IP gì?
Lý tưởng nhất, trang web không nên thấy IP công cộng ISP thực của bạn. Tùy theo trình duyệt và chiến lược sản phẩm, trang kiểm tra có thể hiển thị địa chỉ proxy, địa chỉ tiếp sóng, ứng viên cục bộ bị ẩn hoặc không hiển thị địa chỉ khả dụng. Tiêu chí phán đoán không phải là "chỉ được xuất hiện một IP", mà là "không được xuất hiện lối ra công cộng thực cần được cách ly".
MostLogin nên chọn Private hay Disabled?
Khi cần âm thanh/hình ảnh web, cuộc gọi chăm sóc khách hàng hoặc chia sẻ màn hình, ưu tiên chọn Private và kiểm tra lại; khi hoàn toàn không sử dụng chức năng WebRTC, có thể chọn Disabled. Disabled có thể ảnh hưởng chức năng trang web, nên không phải là giải pháp tối ưu mặc định cho mọi môi trường.
Rò rỉ WebRTC có thể để lộ tên thật và địa chỉ chính xác không?
Thường không thể chỉ dựa vào IP để có được tên thật hoặc địa chỉ nhà chính xác, nhưng IP công cộng có thể tiết lộ khu vực gần đúng và nhà mạng, cũng có thể kết hợp với tài khoản, Cookie, vân tay trình duyệt và hồ sơ hành vi để tạo thành manh mối liên kết mạnh hơn.
Đã xảy ra rò rỉ một lần, chỉ cần sửa cài đặt là đủ sao?
Sửa chỉ ngăn chặn phơi nhiễm tiếp theo, không thể thu hồi dữ liệu mà trang web đã nhận. Đối với nghiệp vụ quan trọng, nên kiểm tra phạm vi thời gian xảy ra rò rỉ, môi trường bị ảnh hưởng và nhật ký đăng nhập; khi cần thiết, kết thúc phiên cũ, cập nhật thông tin xác thực và theo dõi xem nền tảng có xuất hiện xác minh bất thường hay không.
Tổng kết
Trọng tâm của rò rỉ WebRTC không phải là "WebRTC có bật hay không", mà là nó có để lộ địa chỉ công cộng thực không nhất quán với môi trường proxy hiện tại hay không. Sau khi phát hiện bất thường, nên tạm dừng thao tác nhạy cảm trước, rồi sử dụng ba nhóm dữ liệu IP thực, IP proxy và IP WebRTC để hoàn thành đối chiếu. Người dùng MostLogin thường có thể giải quyết vấn đề bằng cách kiểm tra kết nối proxy, chọn WebRTC Private, bật bảo vệ sự cố proxy, xóa quy tắc bỏ qua proxy không cần thiết và xác minh đường dẫn IPv6.
Đưa kiểm tra WebRTC vào quy trình cố định trước khi triển khai môi trường mới đáng tin cậy hơn là khắc phục sau khi tài khoản xuất hiện bất thường. Mỗi lần thay đổi proxy, mạng hoặc phiên bản client đều cần kiểm tra lại, mới đảm bảo lối ra mạng và vân tay trình duyệt luôn nhất quán về lâu dài.
