Apple은 iCloud 비공개 릴레이(새 창)를 귀하의 IP 주소를 노출하지 않고 웹을 탐색할 수 있는 방법으로 홍보합니다. 그러나 404 Media의 새로운 보고서(새 창)에 따르면 그 약속은 깨진 것으로 보입니다.
보안 연구원인 Tommy Mysk와 Talal Haj Bakry(새 창)는 모든 iOS 브라우저의 기반이 되는 브라우저 엔진인 WebKit에서 근본적인 결함을 발견하고, 누구나 자신의 기기가 노출되었는지 테스트할 수 있는 검사 사이트(새 창)를 구축했습니다. 404 Media는 해당 검사를 실행하여 취약점 악용이 작동함을 확인했습니다.
유출 작동 방식
결함 중 하나는 비밀번호를 대체하기 위한 로그인 표준인 패스키에 초점을 맞추고 있습니다. 사이트가 패스키를 지원하거나 (또는 지원한다고 주장할 뿐일 때), 귀하의 기기는 Safari가 아닌 운영 체제를 통해 자격 증명 요청을 보냅니다. 이 요청은 비공개 릴레이의 프록시를 완전히 건너뛰므로(새 창), 화면에서는 모든 것이 정상적으로 보호되는 것처럼 보이는 동안 사이트가 귀하의 실제 IP 주소를 보게 됩니다.
모든 iOS 브라우저가 WebKit에서 작동하기 때문에, 이 문제는 Tor를 통해 트래픽을 라우팅하도록 구축된 앱인 OnionBrowser(새 창)에도 영향을 미칩니다(공식 Tor Browser(새 창)는 영향을 받지 않습니다).
Apple은 이 문제를 조사 중이라고 밝혔으며, OnionBrowser 개발자는 404 Media에 Apple이 해결 일정 없이 이 문제를 “심각하다”고 불렀다(새 창)고 전했습니다.
두 달 만에 실패한 Apple의 두 번째 개인정보 보호 도구
칠월에 404 Media는 Apple의 일회용 별칭 기능인 Hide My Email이 일 년이 넘는 기간 동안 사용자의 실제 주소를 노출해 왔다(새 창)고 보도했습니다.
Apple은 실제로 패치를 적용하기 전에 버그를 두 번 해결했다고 주장했습니다. 결함은 다음과 같습니다. 숨겨진 별칭으로 보내는 메시지가, 합법적인 메시지라 하더라도, 스팸으로 반송될 경우 사용자가 알 수 있는 방법 없이 실제 주소가 보낸 사람의 메일 로그로 유출될 수 있었습니다.
유료 iCloud 개인정보 보호 기능이 두 달 만에 두 번이나 실패한 것이며, 두 번 모두 외부 연구원에 의해 포착되었습니다. 이는 저희가 Apple의 iPhone 개인정보 보호 주장이 정밀한 조사를 견디지 못한다는 것에 대해 썼던 내용과 일치합니다.
비공개 릴레이는 VPN 대체재가 아닙니다
비공개 릴레이는 귀하의 전체 기기가 아닌 Safari만 보호합니다. 전용 VPN은 모든 기기 트래픽을 암호화하므로 귀하의 실제 IP가 귀하가 방문하는 사이트에 도달하지 않으며, 이것이 비공개 릴레이를 켠 상태에서도 귀하가 신뢰하는 VPN이 여전히 중요한 이유입니다. 예를 들어, Proton VPN의 앱은 오픈 소스이며 독립적인 감사를 받습니다.
이메일도 동일한 논리가 적용됩니다. 귀하의 실제 주소를 제공하지 않고 서비스에 가입하려는 경우, Proton Mail의 hide-my-email 별칭을 통해 그렇게 할 수 있습니다.
개인정보 보호 기능은 자체적인 실수를 기꺼이 찾아내고 수정하려는 기업의 의지만큼만 우수할 수 있습니다. Apple은 “귀하의 iPhone에서 일어나는 일은 귀하의 iPhone에 머무릅니다.”(새 창)라고 수년 동안 약속해 왔습니다
그러나 두 달 동안 두 번이나 그것이 사실이 아님이 입증되었습니다.
