Apples kostenpflichtige Datenschutzfunktionen stehen erneut in der Kritik. Sicherheitsforscher:innen haben eine Lücke in iCloud Private Relay entdeckt, die echte IP-Adressen von Nutzer:innen preisgeben kann.
Wie iCloud Private Relay eigentlich schützen soll
iCloud Private Relay gehört zu Apples iCloud+‑Abo und soll die IP-Adresse von Nutzer:innen beim Surfen mit Safari verbergen. Laut Apple verhindert der Dienst, dass Netzbetreiber und Webseiten aus DNS-Daten und IP-Adresse Rückschlüsse auf Identität, Standort und Browserverlauf ziehen. Anders als ein klassisches virtuelles privates Netzwerk, das sämtlichen Datenverkehr eines Geräts über verschlüsselte Tunnel leitet, schützt Private Relay nur den Safari-Verkehr auf Netzwerkebene und ersetzt dabei die echte IP-Adresse durch eine andere.
Die zugrunde liegende Technik basiert auf Apples Browser-Engine WebKit, die auf iOS von allen Browsern verwendet werden muss. Genau dort setzen die jetzt veröffentlichten Sicherheitsberichte an: Schwachstellen in dieser Engine sorgen dafür, dass Safari und andere auf WebKit aufsetzende Browser bestimmte Anfragen nicht über Private Relay leiten.
Passkeys umgehen Schutz von Private Relay
Der Sicherheitsforscher Tommy Mysk und sein Kollege Talal Haj Bakry beschreiben, dass jede Webseite, die Passkeys unterstützt oder Unterstützung vorgaukelt, die echte IP-Adresse von Nutzer:innen auslesen kann, obwohl iCloud Private Relay aktiviert ist. Passkeys gelten als sichere Alternative zu Benutzername und Passwort und setzen auf den WebAuthn‑Standard. Bei ihrer Nutzung stößt allerdings das Betriebssystem selbst eine Webanfrage an, nicht der Browser.
Damit verlässt dieser Datenverkehr den durch Private Relay geschützten Pfad, weil die Anfrage vom Anmeldedienst des Betriebssystems stammt und nicht von Safari. Der Zielserver erhält dadurch in beiden Fällen die tatsächliche IP-Adresse des Geräts, auch wenn für Nutzer:innen der Anschein entsteht, sie würden ganz normal eine Webseite im Browser bedienen. In Tests mit einer eigens entwickelten Prüfseite konnte 404 Media so die reale IP-Adresse von Personen ermitteln, die sich eigentlich hinter Private Relay wähnten.
Die Forscher:innen haben eine öffentlich zugängliche Website bereitgestellt, mit der Nutzer:innen prüfen können, ob sie von der Lücke betroffen sind. Dan Moren von Six Colors berichtet, dass er diese Seite nicht testen konnte, weil das von ihm genutzte WLAN Private Relay generell nicht unterstützt.
Betroffen: Tor-Browser-App und zweiter iCloud+-Dienst
Weil alle iOS-Browser auf Apples WebKit-Engine setzen müssen, ist nicht nur Safari betroffen. Laut den Forscher:innen trifft die Lücke auch OnionBrowser, eine iOS-App, die den Tor‑Anonymisierungsdienst nutzt. Tor leitet den Datenverkehr normalerweise über mehrere Knoten weltweit, um Rückschlüsse auf die Herkunft zu erschweren. Einige der neu beschriebenen Probleme können jedoch auch hier die echte IP-Adresse offenlegen. Die offizielle Tor-Browser-Anwendung des Tor-Projekts selbst sei von dieser speziellen Lücke nicht betroffen und gilt weiterhin als empfohlener Weg, Tor zu nutzen.
Apple wurde von den Forscher:innen bereits informiert. Nach deren Angaben bezeichnete das Unternehmen die Schwachstelle als „drastisch“, ließ aber die Veröffentlichung der Ergebnisse zu, ohne einen Zeitplan für eine Korrektur zu nennen. Gegenüber 404 Media erklärte Apple, man untersuche den Bericht.
Für Apple ist es die zweite bekannte Schwachstelle innerhalb kurzer Zeit, die ein kostenpflichtiges iCloud+‑Datenschutzfeature betrifft. Zuvor hatte 404 Media eine Lücke in „E-Mail verbergen“ offengelegt, bei der reale E-Mail-Adressen offenkundig wurden. Apple soll dieses Problem laut dem Bericht mehr als ein Jahr lang gekannt haben, bevor es Ende des vergangenen Monats behoben wurde.
Via: sixcolors.com · www.404media.co
