WebRTC IP 유출 탐지: 버그에서 기능으로

WebRTC — Web Real-Time Communication — 는 브라우저에서 직접 영상 통화, 파일 공유, 피어 투 피어 데이터 전송을 가능하게 하기 위해 설계되었습니다. 이러한 연결을 수립하려면 브라우저는 자신의 네트워크 인터페이스를 발견하고 원격 피어와 연결성을 협상해야 합니다. 이 과정에는 브라우저가 공인 IP 주소를 발견하고 NAT 방화벽을 통과하도록 돕는 STUN(Session Traversal Utilities for NAT) 및 TURN(Traversal Using Relays around NAT) 서버가 관여합니다.

부작용은 강력합니다. 사용자가 VPN을 통해 접속하더라도 브라우저의 WebRTC 스택이 터널 뒤에 있는 실제 IP 주소를 드러낼 수 있습니다. 이는 WebRTC ICE(Interactive Connectivity Establishment) 후보에 VPN이 가리지 못하는 로컬 네트워크 인터페이스 주소가 포함되기 때문에 발생합니다.

유출이 작동하는 방식

브라우저가 RTCPeerConnection을 생성하고 ICE 후보를 수집할 때, STUN 서버에 질의하여 외부로 향하는 공인 IP를 발견합니다. 하지만 동시에 물리 어댑터의 사설 IP를 포함한 로컬 네트워크 인터페이스도 열거합니다. VPN이 IP 계층에서만 트래픽을 터널링하고 브라우저의 WebRTC 스택이 터널 인터페이스만 배타적으로 사용하도록 구성하지 않으면, 실제 IP가 호스트 후보를 통해 유출됩니다.

tracio.ai에서는 이 동작을 신중하게 프로빙합니다. 우리의 IP Intelligence 시스템은 제어된 STUN 요청을 생성하고 브라우저가 반환하는 ICE 후보를 분석합니다. STUN에서 얻은 공인 IP가 서버에서 관측한 IP와 다르면 VPN 또는 프록시로 표시합니다. 로컬 인터페이스 IP가 추정된 지리적 위치와 모순되는 사설 네트워크 대역을 드러내면 의심 점수를 높입니다.

버그에서 탐지 신호로

프라이버시 중심의 대부분의 브라우저는 이 유출을 패치했습니다 — Chrome은 WebRTC에 명시적인 사용자 권한을 요구하고, Firefox는 프록시를 거치지 않는 UDP를 비활성화하는 설정을 제공합니다. 하지만 군비 경쟁은 계속됩니다. 일부 VPN 클라이언트는 WebRTC를 제대로 구성하지 않고, 오래된 브라우저 버전은 여전히 취약하며, "패치된" WebRTC 응답과 "유출되는" WebRTC 응답의 동작 패턴 자체가 유용한 신호입니다.

우리의 접근 방식은 WebRTC 응답을 복합 신호로 취급합니다. 호스트 후보의 존재, 반환된 ICE 후보의 개수, 후보의 유형(host, srflx, relay), 응답 타이밍이 모두 디바이스 핑거프린트에 기여합니다. IP가 전혀 유출되지 않더라도 WebRTC 동작 패턴은 독특합니다.

TURN 서버 프로빙

STUN을 넘어 TURN 서버 동작도 프로빙합니다. TURN 릴레이는 일반적으로 직접적인 피어 투 피어 연결이 실패할 때 사용되며, 엄격한 방화벽 뒤의 기업 네트워크에서 흔합니다. TURN 할당 응답은 릴레이 경로에 관한 정보를 드러냅니다. 전송 프로토콜(UDP 대 TCP 대 TLS), 릴레이 주소, 할당 수명이 그것입니다.

우리의 SignalProbe 시스템은 정교하게 구성된 TURN 할당 요청을 자체 릴레이 서버로 보냅니다. 응답 시간, 지원되는 전송 방식, 할당 성공/실패 패턴은 네트워크 환경에 따라 달라지며 디바이스 핑거프린팅을 위한 추가적인 신호 다양성을 제공합니다.

프라이버시 고려사항

분명히 하고자 합니다. tracio.ai는 사용자를 비익명화하기 위해 WebRTC 유출을 악용하지 않습니다. 우리 시스템은 VPN이 사용 중일 때를 탐지하고 이를 위험 신호로 보고합니다. 유출된 IP 주소를 저장하거나 노출하지 않습니다. 신호는 이진입니다. "WebRTC 불일치가 있는 VPN 탐지됨" 또는 "직접 연결과 일치하는 WebRTC 동작".

이 접근 방식은 사기 방지 팀에게 필요한 정보를 — 방문자가 실제 위치를 감추고 있다는 사실을 — 개인의 프라이버시를 침해하지 않으면서 제공합니다. 이 신호는 여러 계정이 동일한 숨겨진 위치에서 발생하는 조율된 사기 공격을 탐지하는 데 도움이 됩니다.