To kolejny przykład tego, że nawet rozwiązania projektowane z myślą o prywatności nie zawsze działają tak skutecznie, jak można by oczekiwać. Badacze bezpieczeństwa wykryli, że mechanizm Apple Private Relay może ujawniać prawdziwy adres IP użytkownika, a problem dotyczy nie tylko Safari, ale też innych przeglądarek działających w ekosystemie Apple. Co więcej, podobny kłopot pojawił się również w przeglądarce OnionBrowser.
Co właściwie wykryli badacze
Odkrycia dokonali Talal Haj Bakry i Tommy Mysk, którzy przeanalizowali działanie WebKit, czyli silnika odpowiedzialnego za renderowanie stron internetowych na urządzeniach Apple. Według ich ustaleń, w WebKit znajdują się trzy funkcje, które potrafią ominąć konfigurację proxy i wysyłać ruch bezpośrednio z urządzenia. W praktyce oznacza to możliwość wycieku informacji, które miały pozostać ukryte.
Pierwszym problemem jest DNS prefetching, czyli mechanizm wstępnego rozwiązywania nazw domen. W takim scenariuszu zapytania DNS przechodzą zwykłą ścieżką urządzenia, a nie przez proxy, przez co można zobaczyć realne serwery DNS użytkownika. Z punktu widzenia prywatności to już samo w sobie jest istotny wyciek.
To pokazuje, jak złożone bywają współczesne mechanizmy ochrony prywatności. Nawet pojedynczy komponent przeglądarki może osłabić cały łańcuch zabezpieczeń. Dlatego warto regularnie sprawdzać, jak działają używane narzędzia.
Jakie mechanizmy powodują wyciek
Drugą podatnością są WebAuthn Related Origin Requests. W tym przypadku system credential service pobiera plik walidacyjny bezpośrednio z urządzenia, zamiast korzystać z pośredniczącej warstwy prywatności. Efekt jest taki, że ujawniany zostaje prawdziwy adres IP.
Trzecim elementem jest WebTransport, czyli technologia otwierająca bezpośrednie połączenie HTTP/3. Ona również omija proxy, a to prowadzi do tego samego skutku: adres IP użytkownika staje się widoczny. Według badaczy ta funkcja jest obecna od iOS 26.4.
Przechowywanie haseł w przeglądarkach – oto, jak zrobić to bezpieczniej według ekspertów: https://osnews.pl/przechowywanie-hasel-w-przegladarkach-oto-jak-zrobic-to-bezpieczniej-wedlug-ekspertow/ Warto sprawdzić także, jakie ustawienia zwiększają bezpieczeństwo danych zapisanych lokalnie.
Private Relay to nie VPN
Warto podkreślić, że Private Relay nie działa jak klasyczny VPN. Usługa ukrywa adres IP i szyfruje ruch w Safari, ale nie obejmuje całego ruchu z urządzenia ani wszystkich aplikacji. Oznacza to, że jej zakres ochrony jest ograniczony do przeglądania internetu w obrębie przeglądarki.
Problem komplikują dodatkowo zasady samego Apple. Ponieważ WebKit jest wymagany przez wszystkie przeglądarki działające na systemach firmy, luka nie ogranicza się wyłącznie do Safari. W praktyce może dotknąć szerokiego grona użytkowników, niezależnie od tego, z jakiej przeglądarki korzystają.
Kto już naprawił problem
Część twórców przeglądarek zareagowała szybciej niż Apple. Aktualizacje przygotowały już między innymi Tor Browser oraz Psylo, czyli przeglądarka tworzona przez jednego z badaczy. To pokazuje, że problem był wystarczająco poważny, by wymagał natychmiastowej reakcji.
Apple jak dotąd nie potwierdziło publicznie wdrożenia poprawki. Firma poinformowała jedynie, że analizuje zgłoszenie badaczy. Na tym etapie nie wiadomo więc, kiedy użytkownicy mogą spodziewać się konkretnej aktualizacji.
Jak sprawdzić, czy wyciek występuje
Badacze przygotowali specjalną stronę, dzięki której użytkownicy mogą samodzielnie zweryfikować, czy Private Relay działa poprawnie. Narzędzie pozwala sprawdzić, czy system rzeczywiście ukrywa adres IP, czy też nadal ujawnia go na zewnątrz. To szczególnie ważne dla osób, które korzystają z funkcji prywatności właśnie po to, by ograniczyć śledzenie w sieci.
Cała sytuacja pokazuje, że nawet rozbudowane mechanizmy ochrony mogą zawierać nieoczywiste luki. W praktyce oznacza to, że użytkownicy nie powinni zakładać, iż sama aktywacja funkcji prywatności gwarantuje pełną anonimowość. W świecie bezpieczeństwa cyfrowego takie założenie bywa po prostu zbyt optymistyczne.
Wreszcie ktoś to zauważył! Chociaż Apple robi dużo w kwestiach prywatności, to te luki pokazują, że nie można im bezgranicznie ufać. To, że nawet ich mechanizm ciszy może być tak łatwo ominięty, to spory dzwonek alarmowy. Czas na lepsze sprawdzenie bezpieczeństwa!
A tak to jest jak się wierzy w marketing. Private Relay to nie VPN, a widać, że niektórzy dalej myślą, że to wystarczy. Ciekawe, jak to wpłynie na zaufanie do ich rozwiązań. Może niektórzy sobie uświadomią, że muszą myśleć o prywatności na poziomie całego urządzenia.
No to Apple znowu pokazało, że nie ma idealnych rozwiązań. Miałem wrażenie, że Apple panuje nad tym, ale chyba muszę poszukać innej przeglądarki. OnionBrowser też jest narzędziem, które używam, a teraz też o tym mówią? Szkoda.
Mam wrażenie, że te luki wynikają z tego, że Apple nie traktuje prywatności poważnie, jak się wydaje. Jeśli pecetowy WebTransport ma takie luki, to nie chcę nawet myśleć, co innego może być skopane. Ja tam już od dłuższego czasu na VPNie przesiadłem się z iOS na Linuksa.
Jak dla mnie to super, że wydali narzędzie do sprawdzania. Próbuję to wytestować, bo często ufam zabezpieczeniom Apple. Jeśli mi wyjdzie, że IP jest jednak ukryte, to mogę zostać. Luźno obserwuję sytuację, ale niektórzy zapominają, że iPhone to nie Fort Knox.
Niezłe chałtury robią we wszystkich przeglądarkach. Jak widać, nawet w OnionBrowser mogą być problemy. Mam wrażenie, że każdy by sobie życzył, żeby tacy giganci jak Apple lepiej podeszli do sprawy. Ciekawe, co zrobią w końcu, bo póki co wygląda to blado.