Apple hat iCloud Private Relay mit iOS 15 eingeführt. Die Funktion nutzt eine Architektur mit zwei Relays, um die Privatsphäre zu schützen: Safari-Datenverkehr wird über zwei Stationen geleitet, sodass kein einzelner Dritter, auch Apple nicht, zugleich den Ursprung einer Anfrage und die besuchten Websites kennen soll. Verfügbar ist die Funktion im Rahmen von iCloud+.
Nach Angaben von Talal Haj Bakry und Tommy Mysk liegt das nun offengelegte Problem in drei WebKit-Funktionen: DNS-Prefetching, WebAuthn Related Origin Requests und WebTransport. WebKit ist die Standard-Browser-Engine für Safari sowie alle Drittanbieter-Browser auf iOS und iPadOS.
Die drei Funktionen „umgehen den konfigurierten Proxy und senden den Datenverkehr direkt vom Gerät, wodurch das echte Netzwerk des Nutzers offengelegt wird“, erklärten die Forscher. „Dieselben Lecks betreffen auch Apples iCloud Private Relay.“ Laut ihrer Beschreibung tritt die Preisgabe der tatsächlichen IP-Adresse auch unter macOS auf sowie bei anderen WebKit-basierten Browsern, die auf WebKits APIs zur Proxy-Konfiguration setzen.
Besonders brisant ist aus Sicht der Forscher WebAuthn, also der Standard, mit dem sich Nutzer unter anderem per Passkey bei Websites anmelden können. Tommy Mysk sagte gegenüber The Hacker News: „Jede Website kann WebAuthn, also die für Passkeys genutzte API, so konfigurieren, dass WebKit die echte IP-Adresse des Browsers offenlegt und dabei sowohl Proxy-Konfigurationen als auch iCloud Private Relay in Safari umgeht.“
Mysk zufolge muss eine Website den Fehler gezielt ausnutzen, um die aktuelle Browsersitzung eines Nutzers mit der preisgegebenen IP-Adresse zu verknüpfen. Dafür sei weder eine Nutzerinteraktion noch der Einsatz von Passkeys erforderlich.
Um das Verhalten nachzustellen, haben die Forscher eine Proof-of-Concept-Seite unter dem Namen „leaks.psylo[.]app“ veröffentlicht. Dort zeigt der Bereich „HTTPS-Datenverkehr“ den normalen Netzwerkverkehr, den WebKit beim Verbinden mit einer Website erzeugt. Der Abschnitt „Mögliche IP-Lecks“ soll sichtbar machen, wie die echte IP-Adresse eines Geräts den über den Proxy vorgesehenen Pfad verlassen kann.
Den Zusatz „möglich“ begründete Mysk damit, dass nicht jeder Browser betroffen sei; als Beispiel nannte er Desktop-Chrome. Außerdem würden die Lecks abgeschwächt, wenn der Nutzer mit einem VPN verbunden ist.
Apple reagierte zunächst nicht unmittelbar auf eine Bitte um Stellungnahme. Gegenüber 404 Media erklärte das Unternehmen jedoch, den Bericht der Forscher zu untersuchen.
Es ist nicht das erste Datenschutzproblem rund um iCloud Private Relay. Kurz nach der Einführung der Funktion im Jahr 2021 hatte FingerprintJS bereits auf einen WebRTC-basierten Mechanismus hingewiesen, durch den die echte IP-Adresse eines Clients offengelegt werden konnte. Die aktuelle Veröffentlichung folgt zudem etwas mehr als einen Monat nach einem weiteren von Apple behobenen Problem im Dienst Hide My Email, bei dem sich unter bestimmten Bedingungen die echte E-Mail-Adresse von Nutzern aufdecken ließ.