- Ihr privater iCloud-Relay Apple Gibt Ihre IP-Adresse preis, wenn Sie Websites besuchen, die Passkey-Technologie verwenden.
- Die Diskrepanz entsteht durch die Art und Weise, wie WebKit und der WebAuthn-Standard Anfragen verarbeiten und dabei Proxy-Server umgehen.
- Eine Website kann im Hintergrund unbemerkt Ihre echte IP-Adresse abrufen und sich so von anderen Websites unterscheiden. VPN Einbahnstraße zur absoluten Anonymität.
Wie IP-Leaks über Passkeys funktionieren
Sie bezahlen für ein iCloud+-Abonnement, um sich dank iCloud Private Relay sicher zu fühlen und darauf zu vertrauen, dass Apple Ihre echte IP-Adresse vor neugierigen Blicken schützt. Doch laut den Sicherheitsforschern Tommy Mysk und Talal Haj Bakry genügt ein einziger Besuch einer Website, die Passwörter unterstützt, um den gesamten Anonymisierungsmechanismus zunichtezumachen.
Das Problem ist nicht theoretischer Natur. Wie 404 Media berichtet , untersucht Apple den Sachverhalt bereits nach den Enthüllungen, die grundlegende Schwachstellen der Dienstarchitektur in Kombination mit modernen Authentifizierungsmethoden aufzeigen. Um sofort zu überprüfen, ob Ihr Gerät betroffen ist, haben die Forscher eine spezielle Testplattform eingerichtet , auf der Sie selbst einen Test durchführen können.
Warum WebKit Private Relay umgeht
Die größte Schwierigkeit liegt im prinzipiellen Unterschied zwischen einem herkömmlichen VPN und Apples Private Relay. Während ein VPN den gesamten Netzwerkverkehr des Betriebssystems umleitet, arbeitet Apples Tool hauptsächlich auf der Ebene von Safari und ausgewählten Anwendungen und verbirgt Browseranfragen hinter zwei separaten Proxy-Servern.
Passkeys basieren auf dem WebAuthn-Standard, der kryptografische Schlüssel lokal auf Ihrem Gerät und nicht im Browser speichert. Fordert eine Website eine Authentifizierung an, delegiert WebKit den Vorgang an den nativen Anmeldeinformationsdienst von iOS oder macOS. Laut einer Analyse von MacRumors bedeutet dies, dass die HTTPS-Anfrage direkt vom Gerät an den Zielserver gesendet wird, den privaten Relay-Proxy vollständig umgeht und Ihre echte IP-Adresse preisgibt.
Heimliche Angriffe und zusätzliche DNS-Leaks
Besorgniserregend an der Situation ist nicht nur das Datenleck selbst, sondern die unsichtbare Art und Weise, wie es ausgenutzt werden kann. Ein Angreifer kann einen unregelmäßigen Parameter setzen. rpId und die Anfrage mit der Einstellung ausführen mediation: "conditional"Der Vorgang läuft somit im Hintergrund ab, ohne dass Sie jemals eine Bestätigung benötigen oder eine visuelle Spur auf dem Bildschirm hinterlassen wird.
Darüber hinaus stellten Mysk und Haj Bakry fest, dass das Problem nicht auf Passwörter beschränkt ist. Funktionen wie DNS-Prefetching in iOS legen die tatsächlich verwendeten DNS-Server offen, während neuere Funktionen wie WebTransport auch Ihre echte IP-Adresse preisgeben können. Egal wie gut der Schutz Ihrer Meinung nach auch sein mag , lokale Browser-Rendering-Engines öffnen oft Hintertüren.
Unsere Meinung bei TechNoid
Wir von TechNoid sind der Ansicht, dass Apple mit seinen kostenpflichtigen „Semi-Anonymitäts“-Diensten, die grundlegende Funktionen nicht erfüllen, erneut ein falsches Sicherheitsgefühl erzeugt. iCloud Private Relay eignet sich zwar hervorragend, um sich vor gelegentlichen Trackern und Werbetreibenden zu verbergen, ist aber kein Ersatz für ein zuverlässiges VPN und sollte auch nicht als solcher betrachtet werden. Solange Apple die Art und Weise, wie WebKit WebAuthn-Anfragen verarbeitet, nicht grundlegend überarbeitet, bleibt die einzige verlässliche Lösung für alle, die eine echte IP-Verschleierung benötigen, ein eigenständiges, getestetes VPN auf Geräteebene.
Häufig gestellte Fragen zum Thema IP-Leaks im iCloud Private Relay
Betrifft dieses Problem auch Nutzer außerhalb von Safari?
Ja, da die Sicherheitslücke in der Funktionsweise von WebKit und Systemdiensten begründet liegt, sind dementsprechend auch einige Browser von Drittanbietern betroffen.
Ich muss einiges erledigen ενέργεια Um es auf der Website der Forscher zu sehen?
Besuchen Sie einfach deren Testplattform von Ihrem Gerät aus, wobei Private Relay aktiviert sein muss, um zu sehen, ob der Server Ihre echte IP-Adresse erkennt.
Kann eine Website meine IP-Adresse stehlen, ohne dass ich es merke?
Absolut. Durch die Verwendung spezifischer Parameter in WebAuthn läuft der Prozess völlig unbemerkt im Hintergrund ab, ohne dass eine visuelle Meldung auf dem Bildschirm angezeigt wird.
Ist iCloud Private Relay ein vollwertiges VPN?
Nein, es deckt weder den gesamten Netzwerkverkehr Ihres Geräts ab, noch funktioniert es auf Betriebssystemebene wie ein klassisches VPN.
Wird Apple diese Sicherheitslücke beheben?
Das Unternehmen hat bereits offiziell mitgeteilt, dass es das Problem untersucht. Um die Sicherheitslücke dauerhaft zu schließen, ist jedoch eine strukturelle Änderung am WebKit-Code erforderlich.
Kann ich vorübergehend geschützt werden, bis eine offizielle Lösung verfügbar ist?
Die sicherste Option ist derzeit, Private Relay zu deaktivieren und einen zuverlässigen VPN-Dienst eines Drittanbieters zu nutzen.
Sind alle iOS-Versionen von DNS-Leaks betroffen?
Neuere Mechanismen wie DNS-Prefetching und WebTransport wurden in aktuellen iOS-Versionen entdeckt und geben zusätzliche Verbindungsdaten preis.
