Apple gadiem uzsver privātumu kā vienu no galvenajām savu ierīču priekšrocībām, taču jaunā drošības pētnieku atklātā problēma liecina, ka pat aizsardzības rīki nav pilnīgi neievainojami. Tiek ziņots, ka iCloud Private Relay funkcija dažos gadījumos var atklāt lietotāja īsto IP adresi vietnēm, kurām tai nevajadzētu būt pieejamai.
Kas ir iCloud Private Relay?
iCloud Private Relay ir Apple piedāvāts pakalpojums iCloud+ abonentiem, kas paredzēts, lai paslēptu lietotāja IP adresi, pārlūkojot internetu ar Safari pārlūku. Tā darbības princips ir līdzīgs starpniekserverim – interneta vietne redz nevis lietotāja īsto adresi, bet gan aizstātu savienojuma informāciju.
Kā radās problēma?
Drošības pētnieki Talals Hadžs Bakrijs un Tomijs Miskijs publicēja pētījumu kurā detalizēti aprakstīta ievainojamība Apple’s WebKit dzinējā – pārlūka kodolā kas iOS ierīcēs obligāti jāizmanto visām pārlūkprogrammām.
Problēmas sakne ir passkey autentifikācijas mehānismā. Kad mājaslapa atbalsta passkey pieteikšanos, ierīce veic tīkla pieprasījumu ārpus pārlūkprogrammas – tieši caur operētājsistēmas akreditācijas datu pakalpojumu. Šis pieprasījums apiet Private Relay aizsardzību pilnībā. Galamērķa serveris redz lietotāja īsto IP adresi neatkarīgi no tā vai Private Relay ir ieslēgts.
Pētnieki izveidojuši publisku pārbaudes vietni kur ikviens var pārliecināties vai viņa IP adrese noplūst.
Kāpēc iOS lietotāji ir īpaši neaizsargāti?
Tā kā Apple iOS pieprasa lai visas pārlūkprogrammas izmantotu WebKit dzinēju, ievainojamība skar ne tikai Safari. Tā ietekmē arī privātuma orientētas pārlūkprogrammas – pētnieki atklāja ka pat Tor tīklu izmantojošā OnionBrowser dažos gadījumos atklāj lietotāja īsto IP adresi.
Ko tas nozīmē lietotājiem?
Lielākajai daļai cilvēku risks ikdienā nav kritisks, taču lietotājiem, kuri īpaši rūpējas par anonimitāti, piemēram, žurnālistiem, pētniekiem vai cilvēkiem, kuri strādā ar sensitīvu informāciju, šāda noplūde var būt būtiska.
Pētnieki izveidojuši īpašu pārbaudes vietni, kur lietotāji var pārbaudīt, vai viņu ierīce ir pakļauta šai problēmai.
Apple norādījis, ka problēmas novēršana tiek plānota nākamajos sistēmas atjauninājumos. Līdz tam drošības speciālisti iesaka apzināties, ka Private Relay nav pilnīga anonimitātes garantija.
Avoti: TechCrunch, 9TO5Google
