Apple vermarktet iCloud Private Relay(neues Fenster) als eine Möglichkeit, im Web zu surfen, ohne deine IP-Adresse offenzulegen. Ein neuer Bericht von 404 Media(neues Fenster) zeigt jedoch, dass dieses Versprechen gebrochen wurde.

Sicherheitsforscher Tommy Mysk und Talal Haj Bakry(neues Fenster) haben die zugrunde liegenden Schwachstellen in WebKit gefunden, der Browser-Engine hinter jedem iOS-Browser, und eine Checker-Website(neues Fenster) erstellt, mit der jeder testen kann, ob sein Gerät gefährdet ist. 404 Media hat diesen Test durchgeführt und bestätigt, dass der Exploit funktioniert.

Wie das Leak funktioniert

Eine der Schwachstellen dreht sich um Passkeys, den Anmeldungsstandard, der Passwörter ersetzen soll. Wenn eine Website Passkeys unterstützt (oder dies auch nur behauptet), stellt dein Gerät eine Anmeldedaten-Anfrage über das Betriebssystem statt über Safari. Diese Anfrage überspringt den Proxy von Private Relay vollständig(neues Fenster), sodass die Website deine echte IP-Adresse sieht, während auf dem Bildschirm alles normal und geschützt aussieht.

Da jeder iOS-Browser auf WebKit läuft, betrifft das Problem auch den OnionBrowser(neues Fenster), eine App, die entwickelt wurde, um den Verkehr über Tor umzuleiten (der offizielle Tor Browser(neues Fenster) ist nicht betroffen).

Apple gibt an, den Vorfall zu untersuchen. Der Entwickler des OnionBrowsers teilte 404 Media mit, dass Apple das Problem als „äußerst kritisch“ bezeichnet hat, ohne einen Zeitplan für eine Behebung zu nennen(neues Fenster).

Das zweite Privatsphäre-Tool von Apple, das innerhalb von zwei Monaten versagt

Im Juli berichtete 404 Media, dass Hide My Email, Apples Einweg-Alias-Funktion, seit über einem Jahr die echten Adressen der Benutzer offenlegte(neues Fenster).

Apple behauptete zweimal, den Fehler behoben zu haben, bevor er tatsächlich gepatcht wurde. Die Schwachstelle: Wenn eine Nachricht an einen ausgeblendeten Alias als Spam zurückgewiesen wurde, selbst eine legitime, konnte die echte Adresse in die E-Mail-Protokolle des Absenders gelangen, ohne dass der Benutzer eine Möglichkeit hatte, dies zu erfahren.

Es ist das zweite Mal innerhalb von zwei Monaten, dass eine kostenpflichtige iCloud-Privatsphäre-Funktion versagt hat, und beide Male wurde dies von externen Forschern entdeckt. Das deckt sich mit dem, was wir darüber geschrieben haben, dass Apples Behauptungen zur iPhone-Privatsphäre einer genauen Prüfung nicht standhalten.

Private Relay ist kein VPN-Ersatz

Private Relay schützt nur Safari, nicht dein gesamtes Gerät. Ein dediziertes VPN verschlüsselt den gesamten Geräteverkehr, sodass deine echte IP-Adresse niemals die von dir besuchten Websites erreicht. Aus diesem Grund ist ein VPN, dem du vertraust, auch bei aktiviertem Private Relay wichtig. Die Apps von Proton VPN sind beispielsweise Open Source und werden unabhängig geprüft.

Die gleiche Logik gilt für E-Mails. Wenn du dich für etwas registrieren möchtest, ohne deine echte Adresse anzugeben, ermöglichen dir die hide-my-email-Aliase von Proton Mail genau das.

Eine Privatsphäre-Funktion ist nur so gut wie das Unternehmen, das bereit ist, seine eigenen Fehler zu finden und zu beheben. Apple verspricht seit Jahren: „Was auf deinem iPhone passiert, bleibt auf deinem iPhone.“(neues Fenster)

Innerhalb von zwei Monaten hat sich dies jedoch bereits zweimal als falsch erwiesen.