Apple позиционирует iCloud Private Relay(новое окно) как способ работы в Сети без раскрытия вашего IP-адреса. Однако новый отчет от 404 Media(новое окно) показывает, что это обещание нарушено.
Исследователи в сфере безопасности Томми Мыск и Талал Хадж Бакри(новое окно) обнаружили уязвимости в WebKit — браузерном движке, лежащем в основе каждого браузера для iOS, — и создали сайт для проверки(новое окно), позволяющий любому пользователю протестировать свое устройство на наличие уязвимости. Редакция 404 Media запустила эту проверку и подтвердила, что эксплойт работает.
Как происходит утечка
Одна из уязвимостей связана с ключами доступа — стандартом входа, призванным заменить пароли. Когда сайт поддерживает ключи доступа (или просто заявляет об этом), ваше устройство делает запрос учетных данных через операционную систему, а не через Safari. Этот запрос полностью пропускает прокси-сервер Private Relay(новое окно), поэтому сайт видит ваш реальный IP-адрес, хотя на экране все выглядит нормально и защищенно.
Поскольку все браузеры для iOS работают на WebKit, эта проблема также затрагивает OnionBrowser(новое окно) — приложение, созданное для направления трафика через Tor (официальный Tor Browser(новое окно) не затронут).
Apple заявляет, что проводит расследование; разработчик OnionBrowser сообщил 404 Media, что Apple назвала проблему «критической» без каких-либо сроков ее устранения(новое окно).
Второй инструмент обеспечения конфиденциальности Apple, давший сбой за два месяца
В июле издание 404 Media сообщилo, что функция Hide My Email от Apple, предназначенная для создания одноразовых псевдонимов, раскрывала реальные адреса пользователей на протяжении более года(новое окно).
Apple заявляла, что дважды исправила ошибку, прежде чем действительно выпустить патч. Суть уязвимости: если сообщение на скрытый псевдоним отклонялось как спам, даже легитимное, реальный адрес мог попасть в почтовые журналы отправителя, и пользователь никак не мог об этом узнать.
Это уже второй раз за два месяца, когда платная функция конфиденциальности iCloud дает сбой, причем оба раза это было замечено сторонними исследователями. Это согласуется с тем, что мы писали о том, что заявления Apple о конфиденциальности iPhone не выдерживают критики.
Private Relay не является заменой VPN
Private Relay защищает только Safari, а не все ваше устройство. Специализированный VPN шифрует весь трафик устройства, поэтому ваш реальный IP-адрес никогда не попадет на посещаемые вами сайты. Вот почему доверенный VPN по-прежнему важен даже при включенной функции Private Relay. Например, приложения Proton VPN имеют открытый исходный код и проходят независимый аудит.
Эта же логика применима и к электронной почте. Если вы хотите зарегистрироваться где-то, не раскрывая свой реальный адрес, псевдонимы hide-my-email от Proton Mail позволят вам сделать именно это.
Функция конфиденциальности полезна лишь настолько, насколько компания готова замечать и исправлять собственные ошибки. Apple годами обещала: «Все, что происходит на вашем iPhone, остается на вашем iPhone».(новое окно)
Однако дважды за два месяца это утверждение оказывалось неправдой.
