Apple, iCloud Güvenli Geçişi(yeni pencere)‘ni IP adresinizi ifşa etmeden web’de gezinmenin bir yolu olarak pazarlıyor. Ancak 404 Media’dan gelen yeni bir rapor(yeni pencere), bu vaadin bozulduğunu görüntülüyor.

Güvenlik araştırmacıları Tommy Mysk and Talal Haj Bakry(yeni pencere), her iOS tarayıcısının arkasındaki tarayıcı motoru olan WebKit’teki temel kusurları buldu ve herkesin aygıtının ifşa olup olmadığını test etmesini sağlayan bir kontrol sitesi(yeni pencere) oluşturdu. 404 Media bu kontrolü çalıştırdı ve açığın çalıştığını onayladı.

Sızıntının çalışma şekli

Kusurlardan biri, parolaların yerini alması amaçlanan oturum açma standardı olan geçiş anahtarlarına odaklanıyor. Bir site geçiş anahtarlarını desteklediğinde (veya yalnızca desteklediğini iddia ettiğinde), aygıtınız Safari yerine işletim sistemi aracılığıyla bir kimlik bilgisi talebinde bulunur. Bu talep, Güvenli Geçiş’in vekil sunucusunu tamamen atlar(yeni pencere), böylece ekrandaki her şey normal ve korumalı görünürken site gerçek IP adresinizi görür.

Her iOS tarayıcısı WebKit üzerinde çalıştığı için bu sorun, trafiği Tor üzerinden yönlendirmek amacıyla geliştirilmiş bir uygulama olan OnionBrowser(yeni pencere)‘ı da etkilemektedir (resmî Tor Tarayıcısı(yeni pencere) bu durumdan etkilenmez).

Apple konuyu araştırdığını belirtiyor; OnionBrowser’ın geliştiricisi 404 Media’ya Apple’ın sorunu bir düzeltme takvimi olmaksızın “vahim” olarak nitelendirdiğini(yeni pencere) söyledi.

İki ay içinde başarısız olan ikinci Apple gizlilik aracı

Temmuz ayında 404 Media, Apple’ın tek kullanımlık takma ad özelliği olan Hide My Email’in kullanıcıların gerçek adreslerini bir yıldan uzun süredir ifşa ettiğini(yeni pencere) bildirdi.

Apple, hatayı gerçekten yamalamadan önce iki kez düzelttiğini iddia etti. Kusur şu ki: Gizlenmiş bir takma ada gönderilen bir ileti, meşru bir ileti olsa bile istenmeyen olarak geri dönerse, gerçek adres kullanıcının haberi olmaksızın göndericinin posta günlüklerine sızabiliyordu.

Bu, ücretli bir iCloud gizlilik özelliğinin iki ay içinde ikinci kez başarısız olmasıdır; her iki durum da dış araştırmacılar tarafından yakalanmıştır. Bu durum, Apple’ın iPhone gizlilik iddialarının incelemelere dayanmadığı yönünde yazdıklarımızla örtüşüyor.

Güvenli Geçiş bir VPN alternatifi değildir

Güvenli Geçiş tüm aygıtınızı değil, yalnızca Safari’yi korur. Özel bir VPN tüm aygıt trafiğini şifreler, böylece gerçek IP’niz ziyaret ettiğiniz sitelere asla ulaşmaz; bu nedenle Güvenli Geçiş açık olsa bile güvendiğiniz bir VPN hâlâ önemlidir. Örneğin Proton VPN’in uygulamaları açık kaynaklıdır ve bağımsız olarak denetlenmektedir.

Aynı mantık e-posta için de geçerlidir. Gerçek adresinizi vermeden bir hesap açmak isterseniz, Proton Mail’in hide-my-email takma adları tam da bunu yapmanızı sağlar.

Bir gizlilik özelliği, ancak kendi hatalarını fark edip düzeltmeye istekli olan şirket kadar iyidir. Apple, yıllardır “iPhone’unuzda olan, iPhone’unuzda kalır.”(yeni pencere) vaadinde bulunuyor

Ancak iki ay içinde iki kez bunun doğru olmadığı kanıtlandı.