Apple promuje iCloud Private Relay(nowe okno) jako sposób na przeglądanie sieci bez ujawniania swojego adresu IP. Jednak nowy raport 404 Media(nowe okno) pokazuje, że ta obietnica została złamana.

Badacze bezpieczeństwa Tommy Mysk i Talal Haj Bakry(nowe okno) znaleźli błędy w silniku WebKit, na którym opiera się każda przeglądarka w systemie iOS, i stworzyli stronę testową(nowe okno), która pozwala każdemu sprawdzić, czy jego urządzenie jest narażone. Serwis 404 Media przeprowadził ten test i potwierdził, że exploit działa.

Jak działa wyciek

Jeden z błędów dotyczy kluczy dostępu, czyli standardu logowania mającego zastąpić hasła. Gdy witryna obsługuje (lub tylko twierdzi, że obsługuje) klucze dostępu, Twoje urządzenie wysyła żądanie uwierzytelnienia przez system operacyjny, a nie przez Safari. To żądanie całkowicie pomija proxy usługi Private Relay(nowe okno), więc witryna widzi Twój prawdziwy adres IP, podczas gdy na ekranie wszystko wygląda normalnie i bezpiecznie.

Ponieważ każda przeglądarka na iOS działa na silniku WebKit, problem dotyczy również OnionBrowser(nowe okno) – aplikacji stworzonej do kierowania ruchu sieciowego przez sieć Tor (oficjalna przeglądarka Tor Browser(nowe okno) jest bezpieczna).

Apple twierdzi, że bada sprawę; deweloper OnionBrowser przekazał serwisowi 404 Media, że Apple określiło ten problem jako „poważny”, nie podając harmonogramu jego usunięcia(nowe okno).

Drugie narzędzie ochrony prywatności od Apple, które zawiodło w ciągu dwóch miesięcy

W lipcu serwis 404 Media poinformował, że Hide My Email, funkcja jednorazowych aliasów od Apple, od ponad roku ujawniała prawdziwe adresy użytkowników(nowe okno).

Apple twierdziło, że dwukrotnie naprawiło ten błąd, zanim rzeczywiście go załatało. Luka polegała na tym, że jeśli wiadomość na ukryty alias została odrzucona jako spam, nawet ta prawidłowa, prawdziwy adres mógł wyciec do logów pocztowych nadawcy, a użytkownik nie miał możliwości się o tym dowiedzieć.

To już drugi raz w ciągu dwóch miesięcy, kiedy zawiodła płatna funkcja ochrony prywatności w iCloud i w obu przypadkach zostało to wykryte przez zewnętrznych badaczy. Potwierdza to to, co pisaliśmy o tym, że zapewnienia Apple dotyczące prywatności na iPhone nie wytrzymują zderzenia z rzeczywistością.

Private Relay nie jest zamiennikiem VPN

Private Relay chroni tylko Safari, a nie całe urządzenie. Dedykowany VPN szyfruje cały ruch sieciowy urządzenia, dzięki czemu Twój prawdziwy IP nigdy nie trafia do odwiedzanych witryn. Właśnie dlatego VPN, któremu ufasz, jest nadal ważny, nawet przy włączonej usłudze Private Relay. Przykładowo aplikacje Proton VPN mają otwarty kod źródłowy i są poddawane niezależnym audytom.

Ta sama logika dotyczy wiadomości. Jeśli chcesz się zarejestrować bez podawania prawdziwego adresu, aliasy hide-my-email od Proton Mail pozwolą Ci na to właśnie.

Funkcja ochrony prywatności jest tylko tak dobra, jak firma, która chce dostrzegać i naprawiać własne błędy. Apple od lat obiecuje: „Co dzieje się na Twoim iPhonie, zostaje na Twoim iPhonie”.(nowe okno)

Jednak dwa razy w ciągu dwóch miesięcy okazało się to nieprawdą.