WebRTC Leak คืออะไร

คุณเชื่อมต่อ VPN แล้วเปิดเบราว์เซอร์ โดยคาดหวังว่าเว็บไซต์จะเห็นที่อยู่ IP ของ VPN แทนที่อยู่ของคุณ โดยทั่วไปก็เป็นเช่นนั้นจริง แต่ฟีเจอร์ที่ชื่อ WebRTC ซึ่งมีอยู่ในเบราว์เซอร์ส่วนใหญ่ บางครั้งอาจส่งที่อยู่ที่ VPN ควรปกปิดให้เว็บไซต์ได้ ซึ่งเรียกกันว่า WebRTC Leak

บทความนี้อธิบายว่า WebRTC คืออะไร ทำไมจึงเปิดเผย IP ได้ วิธีทดสอบเบราว์เซอร์ของคุณ และวิธีลดความเสี่ยง โดยเน้นเฉพาะฟีเจอร์ของเบราว์เซอร์ หากต้องการภาพรวมว่าอะไรถูกซ่อนและอะไรไม่ถูกซ่อน อ่านต่อที่ VPN ซ่อน IP ของคุณได้จริงหรือไม่

WebRTC คืออะไร

WebRTC ย่อมาจาก Web Real-Time Communication เป็นชุดฟีเจอร์ของเบราว์เซอร์ที่อธิบายไว้ใน เอกสาร WebRTC ของ MDN และกำหนดมาตรฐานโดย W3C ทำให้หน้าเว็บทำวิดีโอคอล แชตเสียง แชร์หน้าจอ และส่งไฟล์โดยตรงระหว่างผู้ใช้ได้โดยไม่ต้องติดตั้งปลั๊กอิน หากคุณเคยเข้าประชุมผ่านแท็บเบราว์เซอร์ ก็มีโอกาสสูงที่ WebRTC ทำงานอยู่เบื้องหลัง

การเชื่อมต่อตรงที่หน่วงน้อยระหว่างสองฝ่ายต้องรู้ก่อนว่าจะติดต่อกันได้ทางไหน ซึ่งไม่ง่ายนัก เพราะอุปกรณ์ส่วนใหญ่อยู่หลังเราเตอร์ในบ้านและมีที่อยู่ภายในที่คนนอกเครือข่ายใช้ไม่ได้

การรั่วเกิดขึ้นได้อย่างไร

เพื่อหาเส้นทางที่ใช้ได้ เบราว์เซอร์จะรวบรวมรายการที่อยู่ที่เป็นไปได้ เรียกว่า candidate โดยปกติได้แก่

• ที่อยู่ภายใน คือที่อยู่ส่วนตัวของอุปกรณ์ในเครือข่ายบ้านหรือที่ทำงาน ตามที่กำหนดใน RFC 1918 เช่น 192.168.x.x
• ที่อยู่สาธารณะ คือที่อยู่ที่อินเทอร์เน็ตภายนอกมองเห็น เบราว์เซอร์จะถามเซิร์ฟเวอร์ผู้ช่วย (เรียกว่า STUN server) ว่า "คุณเห็นฉันมาจากที่อยู่ไหน"
• ที่อยู่ IPv6 หากการเชื่อมต่อของคุณมี ก็อาจอยู่ในรายการด้วย

หน้าเว็บที่ใช้ WebRTC อ่านรายการนี้ได้ด้วย JavaScript เพียงไม่กี่บรรทัด โดยไม่ต้องเริ่มสายจริง และในเบราว์เซอร์ส่วนใหญ่ก็ไม่ต้องขออนุญาตเพียงเพื่อดูรายการนี้

จุดที่ VPN ถูกข้ามได้อยู่ตรงนี้ โดยปกติ VPN ส่งทราฟฟิกผ่านอุโมงค์เข้ารหัส และเว็บไซต์เห็นที่อยู่ของเซิร์ฟเวอร์ VPN แต่คำขอ STUN ส่งออกโดยเบราว์เซอร์เอง และขึ้นกับระบบปฏิบัติการกับการตั้งค่า VPN มันอาจออกทางการเชื่อมต่อปกติแทนที่จะผ่านอุโมงค์ เซิร์ฟเวอร์ผู้ช่วยจึงตอบกลับด้วย IP สาธารณะจริงของคุณ และหน้าเว็บก็อ่านค่านั้นได้

ตัวอย่างง่าย ๆ

สมมติคุณเชื่อมต่อ VPN ไปยังเซิร์ฟเวอร์อีกเมือง เว็บไซต์ทั่วไปเห็นที่อยู่ของ VPN ตามที่คาดไว้ แต่หน้าที่มีโค้ด WebRTC ขอรายการ candidate จากเบราว์เซอร์ เบราว์เซอร์ติดต่อ STUN server ผ่านการเชื่อมต่อปกติ ได้รับ IP จริงจากผู้ให้บริการอินเทอร์เน็ตของคุณ และใส่ไว้ในรายการ หน้าเว็บจึงได้สองที่อยู่ คือของ VPN และของคุณ VPN ไม่ได้ล้มเหลวในความหมายปกติ เพียงแต่เบราว์เซอร์ถามคำถามนอกอุโมงค์

อะไรรั่วได้และอะไรรั่วไม่ได้

รายการ	WebRTC เปิดเผยได้หรือไม่	หมายเหตุ
IP สาธารณะจริงของคุณ	บางครั้ง	ประเด็นหลักเมื่อเปิด VPN
ที่อยู่ในเครือข่ายภายใน	บางครั้ง	เบราว์เซอร์ปัจจุบันจำนวนมากแทนด้วยชื่อสุ่ม เว้นแต่คุณอนุญาตกล้องหรือไมโครโฟน
ที่อยู่ IPv6	บางครั้ง	มีโอกาสมากขึ้นหากการตั้งค่า VPN ไม่จัดการ IPv6
หน้าเว็บที่คุณเข้าชม	ไม่	รายการ candidate ไม่มีประวัติการเข้าเว็บ
เนื้อหาของข้อมูลที่รับส่ง	ไม่	ยังได้รับการปกป้องด้วยอุโมงค์และ HTTPS

ความเสี่ยงในทางปฏิบัติคือเว็บไซต์ ผู้ลงโฆษณา หรือบุคคลอื่นสามารถโยงการเข้าชมของคุณกับที่อยู่เครือข่ายจริงได้ สำหรับคนส่วนใหญ่เป็นเรื่องความเป็นส่วนตัวมากกว่าหายนะ แต่ก็ทำให้เหตุผลข้อหนึ่งที่คุณเปิด VPN เสียไป

วิธีทดสอบ WebRTC Leak

1. จดที่อยู่จริงก่อน ขณะปิด VPN ให้ค้นหา "what is my IP" ในหน้าตรวจ IP ใดก็ได้ แล้วจด IP สาธารณะไว้
2. เชื่อมต่อ VPN ให้เชื่อมต่อสำเร็จก่อนเปิดเบราว์เซอร์
3. เปิดหน้าทดสอบ WebRTC Leak มีให้ใช้ฟรีหลายแห่ง ค้นหา "WebRTC leak test" และเลือกหน้าที่อธิบายผลชัดเจน
4. เปรียบเทียบที่อยู่ หากผลทดสอบแสดง IP สาธารณะจริงจากข้อ 1 แสดงว่าเบราว์เซอร์รั่ว หากแสดงเพียงที่อยู่ของ VPN หรือชื่อภายใน ก็ถือว่าปลอดภัยในขณะนี้
5. ทดสอบทุกเบราว์เซอร์ที่ใช้ ผลต่างกันระหว่างเบราว์เซอร์ และระหว่างหน้าต่างส่วนตัวกับหน้าต่างปกติ
6. ทดสอบซ้ำหลังเปลี่ยนแปลง เมื่ออัปเดตเบราว์เซอร์ เปลี่ยนการตั้งค่า VPN หรือติดตั้งส่วนเสริม

การทดสอบเป็นเพียงภาพ ณ ขณะนั้น ไม่ใช่การรับประกัน คู่มือ วิธีตรวจสอบว่า VPN ทำงานอยู่หรือไม่ มีรายการตรวจที่กว้างกว่านี้ และควรทดสอบ DNS Leak ในคราวเดียวกัน

วิธีลดความเสี่ยง

ไม่ต้องเป็นผู้เชี่ยวชาญก็ทำได้ ไล่ตามรายการนี้และทดสอบซ้ำหลังแต่ละขั้น

1. อัปเดตเบราว์เซอร์และแอป VPN ผู้พัฒนาเบราว์เซอร์ปรับการทำงานของ WebRTC ให้รัดกุมขึ้นเรื่อย ๆ การอัปเดตจึงสำคัญ
2. ใช้การตั้งค่าของเบราว์เซอร์ถ้ามี บางเบราว์เซอร์มีตัวเลือกให้ WebRTC ใช้เส้นทางของ VPN เท่านั้น เช่น Firefox ผู้ใช้ขั้นสูงปิด WebRTC ได้ผ่านหน้าการตั้งค่าขั้นสูง (ค่า media.peerconnection.enabled)
3. เพิ่มส่วนเสริมที่จำกัด WebRTC มีส่วนเสริมที่น่าเชื่อถือหลายตัวช่วยจำกัดว่า WebRTC เปิดเผยที่อยู่ใดได้ เลือกจากร้านค้าทางการของเบราว์เซอร์ที่มีคำอธิบายชัดเจนและอัปเดตล่าสุด และอ่านสิทธิ์ที่ขอ
4. ตรวจ IPv6 หากการทดสอบพบ IPv6 ที่ไม่คาดคิด การเชื่อมต่ออาจใช้ IPv6 นอกอุโมงค์ แอป VPN หรือระบบปฏิบัติการอาจมีตัวเลือกจัดการหรือปิด IPv6
5. ใช้โปรไฟล์เบราว์เซอร์แยกสำหรับงานที่อ่อนไหว โปรไฟล์ที่จำกัด WebRTC แยกต่างหากจะไม่กระทบเบราว์เซอร์ที่คุณใช้ประชุมวิดีโอ
6. เชื่อมต่อใหม่และทดสอบซ้ำ การเปลี่ยนค่าบางอย่างมีผลหลังรีสตาร์ตเบราว์เซอร์เท่านั้น

หาก VPN หลุดบ่อยระหว่างทดสอบ ดู วิธีทำให้การเชื่อมต่อ VPN เสถียรขึ้น

ข้อจำกัดและสิ่งที่ควรระวัง

• การปิด WebRTC มีราคาที่ต้องจ่าย ประชุมวิดีโอ การโทร และเกมบนเว็บบางเกมต้องใช้ หากเว็บประชุมใช้ไม่ได้หลังเปลี่ยนค่า น่าจะเป็นเพราะเรื่องนี้ ให้จำกัดแทนการปิด หรือแยกเบราว์เซอร์หนึ่งตัวไว้สำหรับการโทร
• มีผลเฉพาะเบราว์เซอร์ แอปแยกต่างหากไม่ใช้ฟีเจอร์ WebRTC ของเบราว์เซอร์ แม้บางแอปมีระบบเรียลไทม์ของตัวเองที่ทำงานต่างออกไป
• การตั้งค่า WebRTC ไม่ช่วยเมื่อเว็บรู้ตัวคุณอยู่แล้ว เช่น เมื่อคุณล็อกอินบัญชีไว้
• ผลทดสอบสะอาดไม่ได้แปลว่าไม่ระบุตัวตน เว็บไซต์ยังจดจำคุณได้ผ่านคุกกี้ บัญชี และลายนิ้วมือเบราว์เซอร์ ดูคำตอบตรง ๆ ใน VPN ทำให้ไม่ระบุตัวตนได้หรือไม่
• เครื่องมือทดสอบต่างกัน หากผลดูแปลก ให้ลองอีกหน้าและทดสอบในหน้าต่างส่วนตัวด้วย

สรุป

WebRTC Leak เกิดเมื่อเบราว์เซอร์ใช้ฟีเจอร์สำหรับการโทรและวิดีโอ ขอและเปิดเผยที่อยู่ IP นอกอุโมงค์ VPN สิ่งที่เปิดเผยคือที่อยู่ ไม่ใช่เนื้อหาการท่องเว็บของคุณ ให้ทดสอบด้วยหน้าทดสอบ WebRTC ขณะเชื่อมต่อ VPN อัปเดตเบราว์เซอร์ จำกัดหรือปิด WebRTC เมื่อเหมาะสม และทดสอบซ้ำทุกครั้งที่เปลี่ยนค่า

หากกำลังพิจารณาวิธีปกป้องการเชื่อมต่อ คุณสามารถดู แพ็กเกจแบบเติมเงินที่หน้าราคา หรือเปิด ศูนย์ช่วยเหลือ เพื่ออ่านคู่มือตั้งค่าและตรวจสอบได้