Apple ทำการตลาด iCloud Private Relay(หน้าต่างใหม่) ว่าเป็นวิธีท่องเว็บโดยไม่เปิดเผยที่อยู่ IP อย่างไรก็ตาม รายงานใหม่จาก 404 Media(หน้าต่างใหม่) แสดงให้เห็นว่าคำสัญญานั้นถูกทำลายลง
นักวิจัยด้านความปลอดภัย Tommy Mysk และ Talal Haj Bakry(หน้าต่างใหม่) พบข้อบกพร่องพื้นฐานใน WebKit ซึ่งเป็นเอนจินเบราว์เซอร์ที่อยู่เบื้องหลังทุกเบราว์เซอร์บน iOS และได้สร้าง เว็บไซต์ตรวจสอบ(หน้าต่างใหม่) ที่ช่วยให้ทุกคนสามารถทดสอบได้ว่าอุปกรณ์มีความเสี่ยงหรือไม่ ทาง 404 Media ได้ทำการตรวจสอบดังกล่าวและยืนยันว่าการโจมตีนี้ได้ผลจริง
วิธีการทำงานของการรั่วไหล
หนึ่งในข้อบกพร่องมุ่งเน้นไปที่ พาสคีย์ ซึ่งเป็นมาตรฐานการเข้าสู่ระบบที่ออกแบบมาเพื่อแทนที่รหัสผ่าน เมื่อไซต์รองรับ (หรือแค่อ้างว่ารองรับ) พาสคีย์ อุปกรณ์จะส่งคำขอข้อมูลรับรองผ่านระบบปฏิบัติการแทนที่จะเป็น Safari คำขอดังกล่าวจะ ข้ามพร็อกซีของ Private Relay ไปโดยสิ้นเชิง(หน้าต่างใหม่) ดังนั้นไซต์จึงเห็นที่อยู่ IP จริง ในขณะที่ทุกอย่างบนหน้าจอยังคงดูปกติและได้รับการปกป้อง
เนื่องจากเบราว์เซอร์ iOS ทุกตัวทำงานบน WebKit ปัญหานี้จึงส่งผลกระทบต่อ OnionBrowser(หน้าต่างใหม่) ซึ่งเป็นแอปที่สร้างขึ้นเพื่อกำหนดเส้นทางทราฟฟิกผ่าน Tor ด้วยเช่นกัน (ส่วน Tor Browser(หน้าต่างใหม่) อย่างเป็นทางการจะไม่ได้รับผลกระทบ)
Apple กล่าวว่ากำลังสืบสวนเรื่องนี้อยู่ ขณะที่นักพัฒนาของ OnionBrowser บอกกับ 404 Media ว่า Apple เรียกปัญหานี้ว่า “ร้ายแรง” โดยยังไม่มีกำหนดเวลาในการแก้ไข(หน้าต่างใหม่)
เครื่องมือความเป็นส่วนตัวชิ้นที่สองของ Apple ที่ล้มเหลวในรอบสองเดือน
ในเดือนกรกฎาคม 404 Media รายงานว่า Hide My Email ซึ่งเป็นคุณสมบัตินามแฝงแบบใช้แล้วทิ้งของ Apple ได้เปิดเผยที่อยู่จริงของผู้ใช้มานานกว่าหนึ่งปี(หน้าต่างใหม่)
Apple อ้างว่าได้แก้ไขบั๊กนี้แล้วถึงสองครั้งก่อนที่จะออกโปรแกรมแก้ไขจริง ข้อบกพร่องคือ หากข้อความที่ส่งไปยังนามแฝงที่ซ่อนอยู่ถูกตีกลับเป็นสแปม แม้ว่าจะเป็นข้อความที่ถูกต้องก็ตาม ที่อยู่จริงก็อาจรั่วไหลไปยังบันทึกอีเมลของผู้ส่ง โดยที่ผู้ใช้ไม่มีทางทราบได้เลย
นี่เป็นครั้งที่สองในรอบสองเดือนที่คุณสมบัติความเป็นส่วนตัวของ iCloud แบบชำระเงินทำงานล้มเหลว ซึ่งทั้งสองครั้งถูกตรวจพบโดยนักวิจัยภายนอก สอดคล้องกับที่เคยเขียนไว้เกี่ยวกับ การกล่าวอ้างเรื่องความเป็นส่วนตัวบน iPhone ของ Apple ว่าไม่สามารถผ่านการตรวจสอบอย่างละเอียดถี่ถ้วนได้
Private Relay ไม่ใช่สิ่งทดแทน VPN
Private Relay ปกป้องเฉพาะ Safari เท่านั้น ไม่ใช่อุปกรณ์ทั้งหมด VPN โดยเฉพาะจะเข้ารหัสทราฟฟิกของอุปกรณ์ทั้งหมด ดังนั้น IP จริงจะไม่เข้าถึงไซต์ที่เข้าชม ซึ่งเป็นเหตุผลว่าทำไม VPN ที่เชื่อถือได้ ยังคงมีความสำคัญแม้ว่าจะเปิดใช้งาน Private Relay อยู่ก็ตาม ตัวอย่างเช่น แอปของ Proton VPN เป็นโอเพนซอร์สและได้รับการตรวจสอบอย่างอิสระ
หลักการเดียวกันนี้ยังนำไปใช้กับอีเมลได้เช่นกัน หากต้องการลงทะเบียนโดยไม่ต้องให้ที่อยู่จริง นามแฝง hide-my-email ของ Proton Mail จะช่วยให้ทำเช่นนั้นได้
คุณสมบัติความเป็นส่วนตัวจะดีได้เท่ากับความเต็มใจของบริษัทในการตรวจจับและแก้ไขข้อผิดพลาดของตนเองเท่านั้น Apple ใช้เวลาหลายปีในการสัญญาว่า “อะไรที่เกิดขึ้นบน iPhone จะคงอยู่บน iPhone”(หน้าต่างใหม่)
อย่างไรก็ตาม เรื่องนี้ได้รับการพิสูจน์แล้วว่าไม่เป็นความจริงถึงสองครั้งในรอบสองเดือน
