Wat is WebRTC in een fingerprintbrowser? Waarom een proxy een controle vereist

Je hebt een proxy ingesteld en op de testpagina wordt de proxy-IP netjes weergegeven, maar in het WebRTC-veld staat een ander adres. Of andersom: je hoorde dat WebRTC je IP lekt, zette het uit en vraagt je nu af of dat nieuwe problemen oplevert. Beide vragen komen op hetzelfde neer: in een fingerprintbrowser is WebRTC een parameter die je per omgeving instelt, en naast een aan/uit-schakelaar is er ook nog een keuze uit modi. Dit artikel gaat over de WebRTC-instellingen van MostMate: waarom de functie adressen lekt, welke van de drie modi bij welke situatie hoort en hoe je het resultaat na configuratie verifieert. Het totaalbeeld van het product vind je op de pagina Wat is MostMate; hier gaat het uitsluitend over WebRTC.

Waarom WebRTC een instellingsparameter is in een fingerprintbrowser

WebRTC is de ingebouwde audio- en videomogelijkheid van de browser, en vóór het opzetten van een verbinding verzamelt de browser uit eigen beweging de netwerkadressen van je machine, zonder omweg via de proxy. Concreet: zodra een webpagina de WebRTC-interface aanroept, zet de browser de beschikbare adressen op de machine (het lokale netwerkadres en het openbare adres achter de router) om in een lijst met ICE-kandidaten en test hij elk ervan op bereikbaarheid; de scripts van de pagina kunnen die lijst volledig uitlezen. Toegang tot je camera is niet nodig, alleen het openen van de pagina kan al volstaan. Details op interfaceniveau vind je in de WebRTC-API-documentatie op MDN.

Daarom staat WebRTC überhaupt op de instellingenlijst van een fingerprintbrowser: de adressen die WebRTC ophaalt en het webverkeer dat de proxy doorstuurt volgen twee gescheiden routes, en hoe correct de proxy ook staat, het gedrag van dit zelfstandige kanaal wordt bepaald door de omgevingsconfiguratie. Voor een fingerprintbrowser zoals MostMate is WebRTC naast Canvas en de fontlijst een basisparameter in de fingerprintinstellingen: elke omgeving beslist zelf hoe dit kanaal zich gedraagt, zodat de uitvoer aansluit bij het netwerkprofiel van die omgeving. Precies daarom configureer je het: het WebRTC-gedrag van elke omgeving moet kloppen. Uitschakelen is slechts één van de opties.

Waarom je na het instellen van een proxy ook WebRTC moet controleren

Een proxy verandert de uitgang van webverzoeken, terwijl WebRTC op eigen houtje externe servers vraagt wat jouw adres is; beide antwoorden kunnen dus uit elkaar lopen. Om netwerkadresvertaling te passeren raadpleegt het audio- en videokanaal rechtstreeks het uitgangsadres, en de meeste proxyconfiguraties verwerken die vraag niet. Het resultaat: de pagina toont de proxy-IP, WebRTC toont je echte IP, en beide gegevenssets belanden op dezelfde website.

Een mismatch kan drie vormen aannemen, en elke vorm vraagt een eigen aanpak:

• Verschillende openbare adressen. In het WebRTC-veld verschijnt het IP-adres van de provider of een IP dat afwijkt van de proxy, en het regioprofiel van de omgeving is meteen ontmaskerd. Dit is de meest directe vorm en je lost het alleen op het niveau van de omgevingsconfiguratie op.
• Identieke lokale adressen. Rapporteren meerdere omgevingen hetzelfde interne adresbereik, dan verkondigen ze dat ze op dezelfde fysieke machine achter dezelfde router draaien. Bij het beheer van meerdere accounts werkt dat als verbindingsbewijs zelfs vaker tegen dan het openbare IP.
• Totale stilte. Zet je WebRTC volledig uit, dan blijft de kandidatenlijst leeg. Vrijwel geen enkele gewone gebruiker doet dat, deze leegte is statistisch een minderheidssignaal en valt naast andere signalen des te meer op.

Moderne browsers maskeren lokale adressen al (een willekeurige naam vervangt het echte interne adres), maar het masker dekt alleen lokale kandidaten; openbare kandidaten blijven gewoon bestaan. Maskeren vervangt de omgevingsconfiguratie niet, de controle blijft nodig.

De drie WebRTC-modi van MostMate: hoe kiezen, voor wie geschikt

In de fingerprintinstellingen van MostMate biedt WebRTC drie modi: Echt, Uitgeschakeld en Aangepast. Elke modus bepaalt hoe dit kanaal zich binnen de omgeving uiteindelijk gedraagt:

1. Echt: de omgeving gebruikt het WebRTC-gedrag van de hostmachine; wat de machine ziet, krijgt de pagina. Geschikt voor situaties waarin de hostmachine zelf al achter de juiste proxy zit en zijn netwerk bij het profiel past, bijvoorbeeld een lokaal netwerk met een Amerikaanse uitgang voor Amerikaanse omgevingen. De beperking: er wordt niets bijgesteld, wijken hostnetwerk en profiel van elkaar af, dan is deze modus onbruikbaar.
2. Uitgeschakeld: WebRTC staat binnen de omgeving uit en er ontstaan geen kandidaatgegevens. Geschikt voor omgevingen waarvan de doelplatforms geen audio of video gebruiken en die vooral de adresblootstelling willen beheersen, bijvoorbeeld puur backofficewerk in e-commerce. Twee beperkingen: webvergaderingen, online klantenservice en dergelijke vallen weg; en zoals eerder gezegd is die stilte een minderheidssignaal, dus de overige fingerprintparameters moeten bij deze keuze des te scherper op elkaar aansluiten.
3. Aangepast: de adressen die WebRTC toont worden afgestemd op het profiel van de omgeving, zodat het openbare adres in de kandidatenlijst overeenkomt met de proxy-uitgang. Geschikt voor omgevingen die WebRTC werkend willen houden én eisen dat het kanaal bij het netwerkprofiel past, bijvoorbeeld accounts die webklantenservice of audio- en video-interactie gebruiken. Stel dit per punt in, afgestemd op hoe streng de risicocontroles van het platform zijn.

Tussen de drie modi bestaat geen universeel antwoord. De keuze hangt van twee vragen af: heeft de omgeving audio- of videobehoeften, en sluit het netwerk van de hostmachine aan bij het profiel van de omgeving? Alle drie de modi vind je in het fingerprintgedeelte van het formulier voor het aanmaken van een omgeving; na configuratie controleer je de huidige waarde in het WebRTC-veld van het fingerprintvoorbeeldpaneel.

Van configuratie tot verificatie: een complete controleprocedure

Is alles ingesteld, dan bevestig je het resultaat met één test, in vier stappen:

• Stap 1: maak in MostMate een omgeving aan, zet de proxy klaar, zet WebRTC op de hierboven gekozen modus, sla op en start de omgeving.
• Stap 2: open binnen de omgeving een resultaatspagina van BrowserScan of Iphey en zoek het WebRTC-onderdeel. De WebRTC-testpagina van BrowserLeaks zet alle adressen uit de kandidatenlijst gewoon onder elkaar, handig voor een controle regel voor regel. Hoe je zulke testpagina's volledig leest, staat in de Iphey trust score-gids; hier kijken we alleen naar de twee adresregels over WebRTC.
• Stap 3: vergelijk en controleer. Het openbare adres dat WebRTC toont hoort overeen te komen met de uitgangs-IP van de proxy; een lokaal adres als willekeurige mDNS-naam valt binnen het normale bereik.

• Stap 4: bijstellen en opnieuw testen. Blijkt iets niet te kloppen, ga dan terug naar de fingerprintinstellingen, wissel van modus, sla op, herstart de omgeving en meet opnieuw. Ververs dezelfde omgeving twee of drie keer om stabiele waarden te bevestigen, en vergelijk daarna met een tweede omgeving om te zien dat elk zich afzonderlijk gedraagt.

Drie aandachtspunten

• Behandel Uitgeschakeld niet als universele oplossing. Het blokkeert de adresblootstelling, maar het kost functionaliteit en creëert een statistische afwijking. Omgevingen zonder audio- of videobehoefte kunnen het gebruiken; met behoefte kies je Echt of Aangepast.
• WebRTC is geen losse controle. Het moet samen kloppen met de proxy-uitgang, het besturingssysteem, de tijdzone en de taal. Ziet WebRTC er alleen goed uit terwijl de rest verschuift, dan blijft de omgeving verdacht. Hoe de parameters samenwerken, wordt als geheel uitgelegd in het artikel over MostMates vier ontwerpprincipes.
• Kies de modus op basis van je bedrijfsbehoeften in plaats van andermans configuratie over te nemen. Een e-commercebackoffice-account en een account voor livestream-interactie hebben totaal andere WebRTC-behoeften; zelfs binnen één reeks omgevingen mag je de drie modi per doel mengen. De modi zelf zijn niet beter of slechter.

Conclusie

WebRTC is een zelfstandige netwerkparameter in een fingerprintbrowser: het haalt adressen op zonder via de proxy te gaan, dus ook na het configureren van een proxy vraagt het een aparte controle; de waarde zit niet in het uitzetten, maar in het zo afstemmen dat het kanaalgedrag van elke omgeving bij het netwerkprofiel past. Kies in MostMate naar aanleiding van het doel van de omgeving tussen Echt, Uitgeschakeld en Aangepast, en controleer daarna het resultaat nog eens via een testpagina. Wil je dit traject meteen zelf doorlopen, download dan MostMate en maak met de gratis versie twee omgevingen aan om te vergelijken; de basisbegrippen over proxy en isolatie worden uitgelegd in Wat is omgevingsisolatie.

FAQ

Lekt een fingerprintbrowser na het uitschakelen van WebRTC nog steeds het IP-adres?

Uitgeschakeld levert het WebRTC-kanaal geen adresgegevens meer, het lek via deze route verdwijnt. Het IP bij gewoon browsen wordt echter door de proxy bepaald, en beide controleer je apart. Daarnaast is die totale stilte een minderheidssignaal: uitschakelen is niet voor elke omgeving de verstandige keuze.

Wat hoort de WebRTC-test te laten zien na het configureren van een proxy?

Het openbare adres hoort overeen te komen met de uitgangs-IP van de proxy; een lokaal adres als willekeurige mDNS-naam is normaal; de waarden blijven binnen dezelfde omgeving stabiel. Verschijnt het provider-IP of een adres dat afwijkt van de proxy, dan is de modus aan bijstelling toe.

Beïnvloeden de WebRTC-instellingen de browserfingerprint?

Ja. De uitvoer van WebRTC is zelf een onderdeel van de fingerprint: testpagina's lezen de kandidaatgegevens uit, of er überhaupt een reactie komt en de vorm van de adressen. Precies die vorm veranderen de drie modi; het doel van de configuratie is overeenstemming met de overige signalen van de omgeving, niet eliminatie.

Welke WebRTC-keuze past bij een omgeving zonder audio- of videobehoefte?

Uitgeschakeld of Aangepast, beide kan: voor puur backofficewerk is Uitgeschakeld de eenvoudigste keuze; zijn de risicocontroles van het doelplatform streng en maakt die stilte je ongerust, kies dan Aangepast en houd één kanaal aan dat bij het profiel past.