Sicherheitsforscher haben mehrere Verhaltensweisen in Apple der WebKit-Browser-Engine identifiziert, die die echte IP-Adresse eines Nutzers selbst dann offenbaren können, wenn der Datenverkehr über datenschutzorientierte Proxy-Dienste geleitet wird. Die Ergebnisse deuten darauf hin, dass bestimmte Browserfunktionen konfigurierte Proxys umgehen könnten und so die Anonymität von Menschen untergraben könnten, die auf Tools wie iCloud Private Relay oder proxy-basierte Datenschutzbrowser angewiesen sind.
Die Forschung wurde durchgeführt von Talal Haj Bakry and Tommy Mysk , den Entwicklern hinter Mysk, einem Unternehmen, das sich auf Datenschutzsoftware für Apple Plattformen spezialisiert hat. Laut ihrem Bericht begannen sie mit Untersuchungen, nachdem Nutzer ihres eigenen datenschutzorientierten Browsers Psylo unerwartete DNS-Anfragen gemeldet hatten, die offenbar die Proxy-Konfiguration der Anwendung umgingen.
Ihre Analyse identifizierte drei separate WebKit-Komponenten, die direkt über das Internet kommunizieren können, anstatt dem konfigurierten Proxy-Pfad des Browsers zu folgen. Daher können Webseiten oder Netzwerkbeobachter unter bestimmten Umständen möglicherweise die tatsächliche IP-Adresse eines Besuchers bestimmen.
Ein Problem betrifft DNS-Prefetching, eine Performance-Funktion, die Domainnamen auflöst, bevor ein Nutzer tatsächlich verknüpfte Ressourcen besucht. Forscher fanden heraus, dass diese Abfragen die Standard-DNS-Konfiguration des Geräts anstelle des Proxys verwenden können, was potenziell Informationen über das Netzwerk des Nutzers offenlegen kann.
Das zweite Verhalten betrifft WebAuthn Related Origin Requests, einen Mechanismus, der die Passkey-Authentifizierung über verwandte Websites hinweg unterstützt. Laut den Forschern stammen diese Anfragen vom Apple Credential Management-Service von ‘s Credential Management und nicht vom Browser selbst, wodurch sie Proxy-Einstellungen umgehen können. Sie warnen, dass eine speziell erstellte Website dieses Verhalten ausnutzen könnte, um Anfragen auszulösen, die die tatsächliche IP-Adresse des Besuchers preisgeben.
Das dritte Problem betrifft WebTransport, ein modernes Kommunikationsprotokoll, das von neueren WebKit-Veröffentlichungen unterstützt wird. Die Forscher sagen, dass WebTransport-Verbindungen direkte HTTP/3-Sitzungen herstellen können, die konfigurierte Proxy-Routen ignorieren und so erneut die Netzwerkadresse des Ursprungsgeräts offenlegen. Sie stellten fest, dass Browser mit deaktiviertem WebTransport, einschließlich einiger Tor-basierter Implementierungen, von diesem spezifischen Verhalten nicht betroffen sind.
Die Ergebnisse haben weitreichende Implikationen, da jeder auf iOS verfügbare Browser die WebKit-Rendering-Engine verwenden Apple muss. Daher können Entwickler das zugrundeliegende Netzwerkverhalten nicht durch eine alternative Browser-Engine ersetzen, was bedeutet, dass die beobachteten Probleme mehrere für die mobile Plattform entwickelte Apple Browser betreffen könnten.
Die Forscher berichteten außerdem, dass Apple ‘s iCloud Private Relay betroffen sein kann, da die identifizierten Anfragen außerhalb des Proxy-Mechanismus erfolgen können, der die IP-Adressen der Nutzer verbergen soll. Private Relay ist darauf ausgelegt, die Privatsphäre zu verbessern, indem DNS-Verkehr verschlüsselt und Internetanfragen über separate Relay-Server geleitet werden, sodass weder Apple noch Websites ein vollständiges Bild der Surfaktivitäten eines Nutzers erhalten. Wenn bestimmte Anfragen diesen Routing-Prozess umgehen, gelten die beabsichtigten Datenschutzmaßnahmen in diesen Fällen möglicherweise nicht.
Um das Risiko zu verringern, aktualisierte das Mysk-Team seinen Psylo-Browser, indem es DNS-Prefetching, WebTransport und WebAuthn standardmäßig deaktivierte. Die Entwickler erklärten, dass diese Änderungen die beobachteten Lecks beseitigen, obwohl einige Browserfunktionen eingeschränkt werden könnten. Nutzer, die die betroffenen Funktionen benötigen, können sie bei Bedarf einzeln aktivieren.
Die Forscher haben ihre Ergebnisse auch mit dem Tor-Projekt und den Entwicklern des Onion Browsers geteilt, die voraussichtlich bewerten, ob ähnliche Maßnahmen für ihre Software geeignet sind. Zum Zeitpunkt der Veröffentlichung des Berichts hatte er Apple nicht öffentlich auf die Ergebnisse reagiert.