WebKit-Lecks in iOS und macOS umgehen Proxys und iCloud Private Relay

Ein Bericht weist auf drei unterschiedliche Datenlecks in WebKit hin, die unter iOS und macOS Informationen an Diensten vorbei übertragen können – trotz Proxy-Nutzung oder iCloud Private Relay. Da Apple auf dem iPhone alle Browser zur Nutzung von WebKit verpflichtet, sind nach aktuellem Stand alle Browser auf der Plattform betroffen.

Drei Schwachstellen in WebKit betreffen Safari, Tor-Browser und Proxy-Apps

Wer Proxy-Browser oder Tor einsetzt, erwartet weitgehende Anonymität beim Surfen. Laut einem Beitrag im Mysk-Blog können jedoch drei Mechanismen in WebKit Daten über Euch preisgeben: DNS Prefetching, WebAuthn für Passkeys und WebTransport. Betroffen sind Tor-Browser, Proxy-Apps und Safari unter iOS und macOS.

Die beschriebenen Lecks greifen auch dann, wenn iCloud Private Relay aktiv ist. Nicht betroffen sind Verbindungen über klassisch konfigurierte VPNs, da diese auf Systemebene arbeiten und den gesamten Datenverkehr verschlüsseln.

Ausgangspunkt der Analyse war ein Hinweis eines Nutzenden der Proxy-App Psylo, der einen DNS-Leak meldete. Bei der Untersuchung stieß der verantwortliche Entwickler auf alle drei Probleme und dokumentierte sie im Detail.

Wie DNS Prefetching, WebAuthn und WebTransport Daten preisgeben

Dem Bericht zufolge funktionieren die Lecks wie folgt:

• DNS Prefetching: Unter iOS 26 werden Hostnamen im Rahmen des DNS Prefetching über den normalen DNS-Pfad aufgelöst, statt den konfigurierten Proxy zu nutzen. Dadurch können DNS-Anfragen außerhalb des eigentlich vorgesehenen Tunnels sichtbar werden.
• WebAuthn für Passkeys: Diese Funktion, die mit iOS 18 eingeführt wurde, lädt zur Validierung von Passkeys eine Datei direkt vom Gerät. Dabei wird die echte IP-Adresse des Geräts offengelegt, obwohl ein Proxy genutzt wird.
• WebTransport: Seit iOS 26.4 baut WebTransport eine direkte HTTP/3-Verbindung zu einem Server auf. Auch hier kann die reale IP-Adresse sichtbar werden, weil die Verbindung die Proxy-Konfiguration umgeht.

Die drei Systeme sollen eigentlich für mehr Geschwindigkeit und Komfort beim Zugriff auf Webinhalte sorgen. In der aktuellen Umsetzung beeinträchtigen sie jedoch die Anonymität, wenn Ihr Euch auf Proxys, Tor oder iCloud Private Relay verlasst.

Eine Ausnahme nennt der Bericht für den Onion Browser: Dessen Sicherheitsstufe „Silver“ versetzt WebKit in einen Modus, der Lockdown Mode ähnelt. In dieser Konfiguration ist der Browser laut Analyse nicht von dem beschriebenen WebTransport-Leck betroffen.

Reaktionen der App-Entwicklung und mögliche Schritte von Apple

Der beteiligte Entwickler arbeitet an der Proxy-App Psylo und teilt mit, dass alle drei Schwachstellen dort in der aktuellen Version behoben seien. Die Lösung besteht darin, die betroffenen WebKit-Funktionen zu deaktivieren. Nutzende müssen diese Features in der App nun bei Bedarf für einzelne Websites gezielt wieder einschalten.

Zur Überprüfung stellt der Entwickler eine Proof-of-Concept-Website bereit, über die Ihr testen könnt, ob Euer Setup von den Lecks betroffen ist. Konkrete Details zu dieser Testseite nennt der Bericht allerdings nicht.

Apple muss die drei WebKit-Probleme in zukünftigen Updates adressieren. Wie schnell das passiert, ist offen. Da die Details nun öffentlich sind, könnte der Zeitplan für entsprechende Korrekturen im WebKit-Code beeinflusst werden.

Für Euch bedeutet das: Proxys und Tor allein reichen derzeit nicht zwingend aus, um alle Informationen zu verbergen. Wer sicherstellen möchte, dass keine Daten das Gerät unverschlüsselt verlassen, sollte zusätzlich ein VPN einsetzen.

Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.

Via: appleinsider.com

Den Beitrag in unserem Forum kommentieren