Funkcja w iPhonie miała mnie chronić. Druga duża wpadka Apple'a w ciągu miesiąca

Badacze bezpieczeństwa odkryli, że w wielu sytuacjach Przekazywanie prywatne iCloud (iCloud Private Relay) ujawnia prawdziwy adres IP użytkownika. A więc dokładnie tę informację, którą miał ukrywać.

To problem konstrukcyjny, wynikający z tego, jak działa WebKit - silnik, który Apple narzuca wszystkim przeglądarkom na iOS. I jakby tego było mało to błąd dotyka nie tylko Safari, ale również OnionBrowser, czyli przeglądarkę korzystającą z sieci Tor.

Czytaj też:

Przekazywanie prywatne iCloud jest częścią płatnego pakietu iCloud+. Apple reklamuje go jako narzędzie, które maskuje IP użytkownika podczas przeglądania Internetu w Safari. W teorii działa to podobnie do VPN-a, choć Apple bardzo podkreśla, że to nie jest VPN. W praktyce Przekazywanie prywatne ma ukrywać IP przed stronami i operatorami sieci, aby utrudnić profilowanie użytkownika.

Problem w tym, że - jak wykazał duet badaczy Tommy Mysk i Talal Haj Bakry - w wielu przypadkach Private Relay po prostu nie działa. Strona internetowa może poznać prawdziwy adres IP użytkownika, nawet jeśli ten ma włączoną usługę i płaci za nią co miesiąc.

Najciekawsze jest to, że wyciek nie wynika z jakiegoś banalnego błędu w Safari, tylko z tego, jak działa mechanizm passkeys - czyli nowoczesna alternatywa dla haseł, oparta na standardzie WebAuthn.

Gdy użytkownik loguje się za pomocą passkey to urządzenie wykonuje zapytanie sieciowe poza przeglądarką. To kluczowy szczegół. Zapytanie wychodzi z systemowego modułu odpowiedzialnego za uwierzytelnianie, a nie z Safari. A skoro nie wychodzi z Safari, to nie trafia do Private Relay. Efekt? Serwer widzi prawdziwy adres IP użytkownika, mimo że ten ma włączoną usługę, która miała go ukrywać.

To nie jest bug, który można łatwo załatać - a konsekwencja architektury iOS-a oraz WebKita. I dlatego badacze określają sytuację jako poważną.

Ponieważ Apple wymaga, by wszystkie przeglądarki na iOS korzystały z WebKit, problem dotyka również OnionBrowser - przeglądarkę korzystającą z sieci Tor. Tor, który ma chronić anonimowość użytkownika, również potrafi ujawnić IP w określonych scenariuszach. Twórca OnionBrowser przyznał, że dwa z wykrytych wycieków wynikają wyłącznie z działania iOS-a i WebKita.

Oficjalny Tor Browser (ten od Tor Project) nie jest dostępny na iOS-a, więc nie jest dotknięty problemem. Ale użytkownicy iPhone’ów i iPadów nie mają do niego dostępu - mogą korzystać tylko z OnionBrowser.

To nie pierwszy raz, gdy płatne funkcje prywatności Apple okazują się dziurawe. Zaledwie miesiąc temu wykryto błąd w funkcji Hide My Email, która zamiast ukrywać adres użytkownika… ujawniała go. Co gorsza, Apple wiedział o problemie przez ponad rok.

Dwie wpadki w ciągu kilku tygodni, obie dotyczące usług, które Apple sprzedaje jako premiumowe narzędzia prywatności to nie jest dobry sygnał. Zwłaszcza dla firmy, która od lat buduje wizerunek „bezpiecznej przystani” w świecie Big Techu.

Apple od lat sprzedaje prywatność jako swój wyróżnik. I w wielu obszarach faktycznie robi więcej niż konkurencja. Ale te dwa przypadki pokazują, że nawet gigant z Cupertino potrafi popełnić błędy - i to takie, które podważają fundamenty jego narracji.

Nie chodzi o to, by demonizować Apple’a. Chodzi o to, by zachować zdrowy sceptycyzm. Prywatność nie jest magiczną cechą urządzenia. Jest efektem konkretnych decyzji technicznych. A te - jak widać - czasem zawodzą.

IP użytkownika może zdradzić jego lokalizację, aktywność, a nawet tożsamość - takie wpadki nie są drobiazgiem. Są sygnałem, że nawet najdroższe i najbardziej „bezpieczne” urządzenia wymagają krytycznego spojrzenia.

Ilustracja otwierająca wygenerowana za pomocą MAI-Image-2.5 i Adobe Firefly F&E