Az iCloud Private Relay ígérete egyértelmű volt: elrejteni a valódi IP-címedet a Safariban való böngészés közben, így a webhelyek nem tudják nyomon követni. A legújabb kutatások azonban kimutatták, hogy ez a védelem nem mindig hatékony. Biztonsági szakértőkből álló csoport számos módot talált arra, hogyan lehet felfedni az IP-címedet , még akkor is, ha a szolgáltatás engedélyezve van. A probléma komolyabb, mint amilyennek látszik, mert az iOS és a macOS összes böngészőjét érinti, és máris jelentős aggodalmat keltett a felhasználók körében.
Tommy Mysk és Talal Haj Bakry kutatók, akik adatvédelmi elemzéseikről ismertek, közzétettek egy jelentést, amely három hibát részletez a WebKitben , az iOS összes böngészője által használt motorban. Ezek a hibák lehetővé teszik egy rosszindulatú webhely számára, hogy a tudtunk nélkül megszerezzék a valódi IP-címünket, teljesen megkerülve a Private Relay adatvédelmi alagutat. A hír az elmúlt órákban vírusként terjedt, és az Apple már elismerte, hogy vizsgálja a problémát, bár a javítás ütemtervéről nem adott tájékoztatást.
A probléma eredete: jelszók és egyéb menekülési útvonalak
Az átlagfelhasználók számára a legsúlyosabb és legrelevánsabb hiba a jelszó nélküli hitelesítési rendszer , a jelszavak . Amikor egy webhely jelszót kér, a kérést nem a Safari böngésző kezeli, hanem az eszköz operációs rendszere közvetlenül rendszerszinten dolgozza fel. Ez a folyamat, amely a WebAuthn szabványt használja, a Private Relay által létrehozott adatvédelmi alagúton kívül fut, ami azt jelenti, hogy a kérő webhely könnyen láthatja az eszköz valódi IP-címét.
A kérdés különösen érzékeny, mivel – ahogy a kutatók rámutatnak – bármely weboldal képes szimulálni a jelszók támogatását, hogy kikényszerítse ezt a kérést és megszerezze a látogató IP-címét. Nincs szükség felhasználói beavatkozásra, így ez egy csendes hátsó ajtó a nyomon követéshez és az azonosításhoz. Továbbá a kutatók két további hibát dokumentáltak a WebKitben , amelyek súlyosbítják a helyzetet: a DNS előhívását, amely kiszűri a Domain Name Systemhez (Domain Name System) intézett lekérdezéseket, valamint a WebTransportot, egy közvetlen csatlakozási protokollt, amely szintén megkerüli a proxyt.
Mysk és Haj Bakry elérhetővé tettek egy teszt weboldalt, a leaks.psylo.app-ot, ahol bárki ellenőrizheti, hogy kiszivárog-e az IP-címe annak ellenére, hogy engedélyezve van a Private Relay. A 404 Media újságírói által az oldalon végzett tesztek megerősítették, hogy az eszköz egy olyan felhasználó valós IP-címét jelenítette meg, akit elméletileg az Apple szolgáltatása védett.
Elérhetőség az iOS ökoszisztémában és azon túl
A probléma egyik sajátossága, hogy nem csak a Safarit érinti. Az App Store szabályzatai miatt az iOS-en elérhető összes böngészőnek , például a Chrome-nak, a Firefoxnak és a Brave-nek, használnia kell a WebKit motort. Ez azt jelenti, hogy a sebezhetőség gyakorlatilag a rendszer összes böngészőjére kiterjed, beleértve az adatvédelemre összpontosító opciókat is, mint például az Onion Browser, amely a Tor hálózathoz csatlakozik. A kutatók megerősítették, hogy ez a böngésző is IP-szivárgásoktól szenved, és már felvették a kapcsolatot a fejlesztőivel a megoldások megtalálása érdekében.
Ez a helyzet újraélesztette a vitát az iCloud Private Relay természetéről. Egy hagyományos VPN-nel ellentétben, amely rendszerszinten védi az eszköz összes hálózati forgalmát, a Private Relay csak a Safarin áthaladó forgalomra hat. Ez a gyakran figyelmen kívül hagyott különbség a jelenlegi probléma gyökere. A szakértők ragaszkodnak ahhoz, hogy egy ilyen szolgáltatást ne tekintsenek egy teljes értékű VPN helyettesítőjének , mivel annak hatóköre sokkal korlátozottabb, mint azt sok felhasználó gondolja.
Európában és Spanyolországban a helyzet különösen releváns. A magánélet védelme alapvető jog, amelyet az Általános Adatvédelmi Rendelet (GDPR) véd, és a spanyol adatvédelmi ügynökség (AEPD) az egyik olyan szerv, amely a legaktívabban ellenőrzi ezen szabályozások betartását. Egy ilyen jellegű hiba egy olyan szolgáltatásban, amelyet kifejezetten a magánélet védelmezőjeként hirdetnek, szabályozási következményekkel járhat , különösen akkor, ha bebizonyosodik, hogy a funkció nem nyújtja az ígért védelmi szintet.
Az Apple válasza és ajánlásai
Az Apple megerősítette a 404 Media-nak, hogy vizsgálja a kutatók jelentését, bár a javítás konkrét dátumát nem közölte. A kutatók által használt biztonsági jelentési portálon a probléma állapota azt jelzi, hogy a javítást 2026 őszére tervezik. Azonban a Hide My Email szolgáltatás hasonló hibájával kapcsolatos korábbi tapasztalatok, amelyek szintén felhasználói adatokat tettek közzé, és a javításuk több mint egy évig tartott, kétségeket vetnek fel a válasz gyorsaságával kapcsolatban.
Eközben az IP-cím teljes védelmének egyetlen módja iOS rendszeren egy rendszerszintű VPN használata . Az olyan szolgáltatások, mint a ProtonVPN, a Mullvad vagy a WireGuard, képesek megvédeni az összes eszközforgalmat, beleértve a böngészőn kívülről érkező kéréseket is, például a jelszavakkal kapcsolatosakat. A kutatók megerősítik, hogy egy hagyományos VPN védi az összes eszközforgalmat, beleértve az adatvédelmi alagutat elhagyó jelszavas kérelmeket is.
A biztonsági közösség már erre a problémára összpontosította figyelmét, és jogosan. A valódi IP-címek kiszivárgása lehetővé teheti a hirdetési hálózatok és a követő szolgáltatások számára, hogy a felhasználó személyazonosságát összekapcsolják böngészési tevékenységével, teljesen aláásva a Private Relay célját. Bár a sebezhetőséget eddig nem aknázták ki tömegesen, az a tény, hogy létezik egy demó weboldal, és hogy a nemzetközi média megerősítette a problémát, aláhúzza a helyzet súlyosságát.
Összefoglalva, fontos megjegyezni, hogy ez az incidens nem érvényteleníti teljesen az iCloud Private Relay hasznosságát. A Safari böngészés többi részét továbbra is védi a kettős továbbító rendszer, amely megakadályozza, hogy az Apple és a webhelyek összekapcsolják az IP-címedet a tevékenységeiddel. Azonban ezeknek a kiskapuknak a megléte, különösen a jelszavakkal kapcsolatosak, azt mutatják, hogy a digitális adatvédelem állandó csatatér, ahol a látszólag robusztus megoldásoknak is lehetnek vakfoltjaik. A felhasználóknak tisztában kell lenniük ezekkel a korlátokkal, és ha a fenyegetés magas, fontolóra kell venniük kiegészítő eszközök, például VPN használatát a valóban átfogó védelem biztosítása érdekében. Az adatvédelmi ígéretekbe vetett bizalomnak a technológiák működésének és korlátainak valódi megértésén kell alapulnia.