Νέα ευρήματα ερευνητών κυβερνοασφάλειας δείχνουν ότι χρήστες της υπηρεσίας iCloud Private Relay της Apple ενδέχεται να μην προστατεύονται πλήρως ως προς την απόκρυψη της πραγματικής τους διεύθυνσης IP. Σύμφωνα με την αναφορά, αδυναμίες στη μηχανή WebKit, που χρησιμοποιείται από όλους τους φυλλομετρητές στο iOS, μπορούν να επιτρέψουν σε έναν ιστότοπο να εντοπίσει την πραγματική διεύθυνση IP ενός επισκέπτη, μειώνοντας το επίπεδο ανωνυμίας που προσφέρει η υπηρεσία.
Apple: Πώς λειτουργεί η διαρροή
Οι ερευνητές Tommy Mysk και Talal Haj Bakry διαπίστωσαν ότι το πρόβλημα μπορεί να ενεργοποιηθεί όταν ένας ιστότοπος υποστηρίζει ή ισχυρίζεται ότι υποστηρίζει τη χρήση passkeys για σύνδεση.
Σε αυτή την περίπτωση, η διαδικασία ταυτοποίησης μπορεί να πραγματοποιήσει ξεχωριστό αίτημα μέσω του λειτουργικού συστήματος αντί να περάσει από το προστατευμένο δίκτυο του Safari μέσω του iCloud Private Relay. Ως αποτέλεσμα, ο διακομιστής του ιστότοπου μπορεί να λάβει την πραγματική διεύθυνση IP της συσκευής, χωρίς ο χρήστης να αντιληφθεί κάτι περισσότερο από το συνηθισμένο παράθυρο επιβεβαίωσης για χρήση passkey.
Η Apple ανακοίνωσε ότι εξετάζει την αναφορά.
Περιορισμοί του Private Relay
Το iCloud Private Relay έχει σχεδιαστεί για να αποκρύπτει τη διεύθυνση IP των συνδρομητών του iCloud+ κατά την περιήγηση στο Safari. Ωστόσο, δε λειτουργεί ως πλήρες εικονικό ιδιωτικό δίκτυο και δεν δρομολογεί όλη την κίνηση της συσκευής μέσω προστατευμένης σύνδεσης.
Αυτό σημαίνει ότι αιτήματα που πραγματοποιούνται από άλλες υπηρεσίες του λειτουργικού συστήματος ενδέχεται να παρακάμπτουν την προστασία και να αποκαλύπτουν την πραγματική διεύθυνση IP.
Επιπτώσεις στην ιδιωτικότητα
Η αποκάλυψη μιας διεύθυνσης IP δεν σημαίνει ότι μια συσκευή έχει παραβιαστεί ή ότι έχουν υποκλαπεί λογαριασμοί χρηστών. Ωστόσο, η διεύθυνση IP μπορεί να αποκαλύψει την κατά προσέγγιση γεωγραφική θέση και τον πάροχο σύνδεσης ενός χρήστη, ενώ μπορεί να συνδυαστεί με άλλα δεδομένα για τη δημιουργία προφίλ δραστηριότητας.
Οι ερευνητές διαπίστωσαν επίσης ότι η ίδια συμπεριφορά της WebKit επηρεάζει και το OnionBrowser για iOS, καθώς όλες οι εφαρμογές περιήγησης στην πλατφόρμα χρησιμοποιούν υποχρεωτικά τη μηχανή της Apple. Αντίθετα, ο επίσημος Tor Browser δεν επηρεάζεται από το συγκεκριμένο πρόβλημα.
Μέχρι να διατεθεί διορθωτική ενημέρωση, οι ειδικοί συνιστούν στους χρήστες να εγκαθιστούν άμεσα τις νέες ενημερώσεις της Apple, να είναι ιδιαίτερα προσεκτικοί με άγνωστους ιστότοπους που ζητούν χρήση passkeys και να μην θεωρούν το iCloud Private Relay πλήρη αντικατάσταση ενός συστήματος ανωνυμίας ή ενός ολοκληρωμένου VPN.