Защита Apple дала сбой: iPhone может сливать ваш IP-адрес
Одна из главных функций Apple для защиты приватности оказалась не столь надежной, как считалось. При определенных условиях iCloud Private Relay может раскрывать сетевые данные пользователя.
Об этом информирует РБК-Украина, ссылаясь на разбор исследователя по кибербезопасности Mysk.
Главная проблема заключается в WebKit - это внутренний "двигатель", на котором работают Safari и все остальные браузеры для iPhone.
По правилам Apple любой браузер в App Store вынужден использовать именно WebKit для интернет-серфинга.
Когда ваш iPhone "сливает" данные?
Эксперты по кибербезопасности Томми Миск и Талал Хадж Бакри разложили проблему на следующие составляющие:
Предварительная подгрузка адресов (DNS prefetching)
Чтобы веб-сайты открывались быстрее, браузер может заранее искать адреса ссылок на странице.
Этот поиск iPhone производит через обычного интернет-провайдера, а не через защищенный сервис. Страница может этим воспользоваться и зафиксировать, из какой именно сети состоялось мероприятие.
Вход без паролей (Passkeys/WebAuthn)
При использовании ключей доступа вместо паролей сайты проверяют их подлинность.
Проверку выполняет самая операционная система iOS, а не браузер. Она работает без учета режима приватности и соединяется с сервером напрямую, демонстрируя реальный IP-адрес.
Новый формат быстрой связи (WebTransport)
Это современная разработка для ускоренной передачи данных меж веб-сайтом и телефоном. Она запускается напрямую с устройства и игнорирует любые настройки защиты или прокси-сервера.
Кто в опасности, а кому ничего не угрожает?
Под угрозой все пользователи iCloud Private Relay, а также использующие специальные анонимные или Tor-браузеры на iPhone и Mac.
В безопасности пользователи обычных VPN-сервисов. В отличие от защиты Apple, VPN работает на уровне всей системы и "упаковывает" в зашифрованное туннельное укрытие весь трафик устройства без исключений.
Как защититься и проверить устройство?
Исследователи уже передали все данные Apple, чтобы разработчики исправили эти дыры в последующих обновлениях iOS.
Тем временем авторы анонимного браузера Psylo уже выпустили обновление, где принудительно отключили опасные функции.
Также специалисты создали сайт, где каждый желающий может в один клик проверить, не сливает ли его iPhone реальный адрес: leaks.psylo.app.