Beveiligingsonderzoekers hebben meerdere gedragingen in Apple de WebKit-browserengine geïdentificeerd die het echte IP-adres van een gebruiker kunnen onthullen, zelfs wanneer verkeer via privacygerichte proxydiensten wordt geleid. De bevindingen suggereren dat bepaalde browserfuncties geconfigureerde proxies kunnen omzeilen, wat de anonimiteit van mensen die afhankelijk zijn van tools zoals iCloud Private Relay of proxy-gebaseerde privacybrowsers mogelijk ondermijnt.
Het onderzoek werd uitgevoerd door Talal Haj Bakry and Tommy Mysk , de ontwikkelaars achter Mysk, een bedrijf dat zich richt op privacysoftware voor Apple platforms. Volgens hun rapport begonnen ze onderzoek nadat gebruikers van hun eigen privacygerichte browser, Psylo, onverwachte DNS-verzoeken rapporteerden die de proxyconfiguratie van de applicatie leken te omzeilen.
Hun analyse identificeerde drie afzonderlijke WebKit-componenten die direct via het internet kunnen communiceren in plaats van het geconfigureerde proxypad van de browser te volgen. Als gevolg hiervan kunnen websites of netwerkwaarnemers onder bepaalde omstandigheden het daadwerkelijke IP-adres van een bezoeker bepalen.
Een probleem betreft DNS-prefetching, een prestatiefunctie die domeinnamen oplost voordat een gebruiker daadwerkelijk gekoppelde bronnen bezoekt. Onderzoekers ontdekten dat deze opzoekopdrachten de standaard DNS-configuratie van het apparaat kunnen gebruiken in plaats van de proxy, waardoor mogelijk informatie over het netwerk van de gebruiker wordt blootgesteld.
Het tweede gedrag betreft WebAuthn Related Origin Requests, een mechanisme dat is ontworpen om passkey-authenticatie op gerelateerde websites te ondersteunen. Volgens de onderzoekers komen deze verzoeken voort uit Apple de credential management-dienst van ‘s credential management in plaats van van de browser zelf, waardoor ze proxy-instellingen kunnen omzeilen. Ze waarschuwen dat een speciaal gemaakte website dit gedrag kan misbruiken om verzoeken te activeren die het werkelijke IP-adres van de bezoeker onthullen.
Het derde probleem betreft WebTransport, een modern communicatieprotocol dat wordt ondersteund door recente WebKit-releases. De onderzoekers zeggen dat WebTransport-verbindingen directe HTTP/3-sessies kunnen opzetten die geconfigureerde proxyroutes negeren, waardoor opnieuw het netwerkadres van het oorspronkelijke apparaat wordt blootgesteld. Ze merkten op dat browsers met WebTransport uitgeschakeld, inclusief sommige Tor-gebaseerde implementaties, niet door dit specifieke gedrag worden beïnvloed.
De bevindingen hebben bredere implicaties omdat elke browser die beschikbaar is op iOS verplicht is gebruik te maken Apple van de WebKit-renderingengine. Daardoor kunnen ontwikkelaars het onderliggende netwerkgedrag niet vervangen door een alternatieve browserengine, wat betekent dat de waargenomen problemen meerdere browsers kunnen treffen die voor Apple het mobiele platform van ‘ zijn gebouwd.
De onderzoekers meldden ook dat Apple ‘s iCloud Private Relay beïnvloed kan worden omdat de geïdentificeerde verzoeken buiten het proxymechanisme kunnen plaatsvinden dat bedoeld is om de IP-adressen van gebruikers te verbergen. Private Relay is ontworpen om de privacy te verbeteren door DNS-verkeer te versleutelen en internetverzoeken via aparte relaisservers te routeren, zodat noch websites Apple een volledig beeld krijgen van de browseactiviteiten van een gebruiker. Als bepaalde verzoeken dat routeringsproces omzeilen, gelden de bedoelde privacybescherming mogelijk niet in die gevallen.
Om het risico te verkleinen heeft het Mysk-team zijn Psylo-browser bijgewerkt door DNS-prefetching, WebTransport en WebAuthn standaard uit te schakelen. De ontwikkelaars zeiden dat deze wijzigingen de waargenomen lekken elimineren, hoewel sommige browserfunctionaliteiten mogelijk worden verminderd. Gebruikers die de getroffen functies nodig hebben, kunnen ze individueel inschakelen indien nodig.
De onderzoekers hebben hun bevindingen ook gedeeld met het Tor Project en de ontwikkelaars van Onion Browser, die naar verwachting zullen beoordelen of vergelijkbare mitigatiemaatregelen geschikt zijn voor hun software. Op het moment dat het rapport werd gepubliceerd, had het Apple niet publiekelijk gereageerd op de bevindingen.