Apple brengt iCloud Private Relay(nieuw venster) op de markt als een manier om op het web te surfen zonder uw IP-adres bloot te leggen. Een nieuw rapport van 404 Media(nieuw venster) toont echter aan dat die belofte is gebroken.

Beveiligingsonderzoekers Tommy Mysk en Talal Haj Bakry(nieuw venster) vonden de onderliggende fouten in WebKit, de browserengine achter elke iOS-browser, en bouwden een checker-site(nieuw venster) waarmee iedereen kan testen of hun apparaat is blootgesteld. 404 Media voerde die controle uit en bevestigde dat de exploit werkt.

Hoe het lek werkt

Een van de fouten draait om passkeys, de inlogstandaard die bedoeld is om wachtwoorden te vervangen. Wanneer een site passkeys ondersteunt (of dat alleen beweert), doet uw apparaat een inloggegevensverzoek via het besturingssysteem in plaats van via Safari. Dat verzoek slaat de proxy van Private Relay volledig over(nieuw venster), waardoor de site uw echte IP-adres ziet terwijl alles op het scherm er normaal en beschermd uitziet.

Omdat elke iOS-browser op WebKit draait, treft het probleem ook OnionBrowser(nieuw venster), een app die is gebouwd om verkeer via Tor te leiden (de officiële Tor Browser(nieuw venster) is niet getroffen).

Apple zegt de zaak te onderzoeken; de ontwikkelaar van OnionBrowser vertelde 404 Media dat Apple het probleem “zeer ernstig” noemde, zonder tijdlijn voor een oplossing(nieuw venster).

De tweede privacytool van Apple die faalt in twee maanden tijd

In juli meldde 404 Media dat Hide My Email, de functie van Apple voor wegwerpaliassen, al ruim een jaar lang de echte adressen van gebruikers blootstelde(nieuw venster).

Apple beweerde de bug twee keer te hebben opgelost voordat deze daadwerkelijk werd gepatcht. De fout: als een bericht naar een verborgen alias als spam werd geweigerd, zelfs een legitiem bericht, kon het echte adres weglekken naar de mail-logboeken van de afzender, zonder dat de gebruiker dit kon weten.

Het is de tweede keer in twee maanden tijd dat een betaalde iCloud-privacyfunctie faalt, beide keren ontdekt door externe onderzoekers. Dit komt overeen met wat we hebben geschreven over het feit dat de iPhone-privacyclaims van Apple geen stand houden.

Private Relay is geen vervanging voor een VPN

Private Relay beschermt alleen Safari, niet uw hele apparaat. Een speciale VPN versleutelt al het apparaatverkeer, zodat uw echte IP de sites die u bezoekt nooit bereikt. Daarom is een VPN die u vertrouwt nog steeds belangrijk, zelfs als Private Relay is ingeschakeld. De apps van Proton VPN zijn bijvoorbeeld open source en onafhankelijk gecontroleerd.

Dezelfde logica is van toepassing op e-mail. Als u zich voor iets wilt inschrijven zonder uw echte adres op te geven, laten de hide-my-email-aliassen van Proton Mail u precies dat doen.

Een privacyfunctie is slechts zo goed als het bedrijf dat bereid is de eigen fouten op te sporen en te herstellen. Apple belooft al jaren: “Wat op uw iPhone gebeurt, blijft op uw iPhone.”(nieuw venster)

Twee keer in twee maanden tijd is dat echter onwaar gebleken.