Apple, iCloud Private Relay(नई विंडो) को ऐसा तरीका बताता है जिससे अपना IP पता बताए बिना वेब ब्राउज़ किया जा सके। लेकिन 404 Media की एक नई रिपोर्ट(नई विंडो) दिखाती है कि ये वादा टूट चुका है।
सिक्योरिटी रिसर्चर Tommy Mysk और Talal Haj Bakry(नई विंडो) ने WebKit में मूल कमियां ढूंढीं, जो हर iOS ब्राउज़र के पीछे वाला ब्राउज़र इंजन है, और एक चेकर साइट(नई विंडो) बनाई, जिससे कोई भी टेस्ट कर सकता है कि उसका डिवाइस एक्सपोज़्ड है या नहीं। 404 Media ने वो चेक चलाया और पुष्टि की कि ये एक्सप्लॉयट सच में काम करता है।
लीक कैसे काम करता है
इनमें से एक कमी पासकी से जुड़ी है, जो पासवर्ड की जगह लेने के लिए बना लॉगइन स्टैंडर्ड है। जब कोई साइट पासकी को सहायता देती है (या सिर्फ ऐसा दावा करती है), तो आपका डिवाइस Safari की जगह ऑपरेटिंग सिस्टम के ज़रिए क्रेडेंशियल रिक्वेस्ट भेजता है। वो रिक्वेस्ट Private Relay की प्रॉक्सी को पूरी तरह छोड़ देती है(नई विंडो), तो साइट को आपका असली IP पता दिख जाता है, जबकि स्क्रीन पे सब कुछ सामान्य और सुरक्षित दिखता है।
चूंकि हर iOS ब्राउज़र WebKit पे चलता है, इस समस्या से OnionBrowser(नई विंडो) भी प्रभावित होता है, जो ट्रैफिक को Tor के ज़रिए रूट करने के लिए बना एक ऐप है (आधिकारिक Tor Browser(नई विंडो) प्रभावित नहीं है)।
Apple कहता है कि वो इसकी जांच कर रहा है; OnionBrowser के डेवलपर ने 404 Media को बताया कि Apple ने इस समस्या को “dire” यानी बेहद गंभीर बताया और फिक्स की कोई टाइमलाइन नहीं दी(नई विंडो)।
दो महीने में असफल होने वाला Apple का दूसरा निजता टूल
जुलाई में 404 Media ने रिपोर्ट दी थी कि Hide My Email, जो Apple की disposable-alias खासियत है, एक साल से ज़्यादा समय से उपयोगकर्ताओं के असली पते एक्सपोज़ कर रही थी(नई विंडो)।
Apple ने दावा किया था कि उसने बग दो बार फिक्स कर दिया है, इससे पहले कि वो सच में पैच करता। कमी ये थी: अगर छिपे हुए नकली-नाम को भेजा गया कोई संदेश स्पैम के रूप में बाउंस हो जाता, चाहे वो असली हो, तो असली पता भेजने वाले के मेल लॉग में लीक हो सकता था, और उपयोगकर्ता को इसका पता चलने का कोई तरीका नहीं था।
दो महीने में ये दूसरी बार है जब iCloud की कोई पेड निजता खासियत असफल हुई है, और दोनों बार बाहरी रिसर्चरों ने इसे पकड़ा। ये उस बात से मेल खाता है जो हमने Apple के iPhone निजता दावों के बारे में लिखा था, कि वे जांच के पैमाने पर टिकते नहीं।
Private Relay, VPN का विकल्प नहीं है
Private Relay सिर्फ Safari को सुरक्षित रखता है, पूरे डिवाइस को नहीं। एक डेडिकेटेड VPN सारे डिवाइस ट्रैफिक को एन्क्रिप्ट करता है, तो आपका असली IP कभी उन साइटों तक नहीं पहुंचता जिन्हें आप विज़िट करते हैं, इसीलिए एक विश्वसनीय VPN अब भी मायने रखता है, चाहे Private Relay ऑन हो। Proton VPN की ऐप्स, उदाहरण के लिए, ओपन सोर्स हैं और स्वतंत्र रूप से ऑडिट की जाती हैं।
वही लॉजिक ईमेल पे भी लागू किया जा सकता है। अगर आप अपना असली पता बताए बिना किसी चीज़ के लिए साइनअप करना चाहते हैं, तो Proton Mail के hide-my-email नकली-नाम आपको यही करने देते हैं।
निजता की कोई खासियत उतनी ही अच्छी है जितनी वो कंपनी, जो अपनी गलतियां पकड़कर उन्हें फिक्स करने को तैयार हो। Apple सालों से वादा करता आ रहा है: “आपके iPhone पे जो होता है, वो आपके iPhone पे रहता है”।(नई विंडो)
लेकिन दो महीने में दो बार ये झूठा साबित हुआ है।
