Společnost Apple prezentuje iCloud Private Relay(nové okno) jako způsob, jak procházet web bez odhalení vaší IP adresy. Nová zpráva od 404 Media(nové okno) však ukazuje, že tento slib byl porušen.

Bezpečnostní výzkumníci Tommy Mysk a Talal Haj Bakry(nové okno) objevili základní chyby ve WebKitu, což je jádro stojící za každým prohlížečem pro iOS, a vytvořili kontrolní web(nové okno), který umožňuje komukoli otestovat, zda je jeho zařízení ohroženo. Server 404 Media tento test provedl a potvrdil, že exploit funguje.

Jak únik funguje

Jedna z chyb se týká přístupových klíčů, přihlašovacího standardu, který má nahradit hesla. Když web podporuje (nebo to o sobě jen tvrdí) přístupové klíče, vaše zařízení odešle požadavek na přihlašovací údaje prostřednictvím operačního systému, a nikoli přes Safari. Tento požadavek zcela přeskočí proxy Private Relay(nové okno), takže web uvidí vaši skutečnou IP adresu, i když na obrazovce vypadá vše normálně a chráněně.

Protože každý prohlížeč pro iOS běží na WebKitu, tento problém postihuje také prohlížeč OnionBrowser(nové okno), což je aplikace navržená ke směrování síťového provozu přes Tor (oficiální Tor Browser(nové okno) tímto problémem ovlivněn není).

Společnost Apple uvádí, že věc vyšetřuje; vývojář prohlížeče OnionBrowser sdělil serveru 404 Media, že Apple označil tento problém za „vážný“ bez jakéhokoli časového harmonogramu opravy(nové okno).

Druhý nástroj na ochranu soukromí od společnosti Apple, který selhal během dvou měsíců

V červenci server 404 Media informoval, že funkce Hide My Email od společnosti Apple pro jednorázové aliasy odhalovala skutečné adresy uživatelů po dobu delší než jeden rok(nové okno).

Společnost Apple tvrdila, že tuto chybu dvakrát opravila, než ji skutečně záplatovala. Chyba spočívala v tom, že pokud se zpráva zaslaná na skrytý alias vrátila jako spam, a to i v případě legitimní zprávy, skutečná adresa mohla uniknout do poštovních logů odesílatele, aniž by o tom měl uživatel možnost vědět.

Je to již podruhé během dvou měsíců, co selhala placená funkce ochrany soukromí v iCloudu, přičemž v obou případech na to upozornili externí výzkumníci. To odpovídá tomu, co jsme psali o tom, že tvrzení společnosti Apple o ochraně soukromí u iPhonů při bližším zkoumání neobstojí.

Private Relay není náhradou za VPN

Služba Private Relay chrání pouze Safari, nikoli celé vaše zařízení. Vyhrazená VPN šifruje veškerý síťový provoz zařízení, takže vaše skutečná IP adresa se nikdy nedostane na weby, které navštěvujete. Proto je VPN, které důvěřujete, stále důležitá, i když máte zapnutou službu Private Relay. Aplikace Proton VPN mají například otevřený zdrojový kód a procházejí nezávislým auditem.

Stejná logika platí i pro e-mail. Pokud se chcete zaregistrovat bez toho, abyste uváděli svou skutečnou adresu, aliasy hide-my-email od Proton Mailu Vám umožní přesně to.

Funkce ochrany soukromí je pouze tak dobrá, jak ochotná je společnost vyhledávat a opravovat své vlastní chyby. Společnost Apple už roky slibuje: „Co se stane ve vašem iPhonu, to v něm také zůstane.“(nové okno)

Během dvou měsíců se však dvakrát ukázalo, že to není pravda.