Propusti u Private Relayu mogu otkriti stvarnu IP adresu
Istraživači Talal Haj Bakry i Tommy Mysk otkrili su da Appleov iCloud Private Relay može otkriti stvarnu IP adresu korisnika tokom pregledanja interneta u Safariju. Navode da su uzrok tri funkcije WebKita, pregledačkog pogona koji koriste svi pregledači na iOS-u, a TechCrunch je proverio da njihov test sajt može da prikaže stvarnu IP adresu i uz uključen Private Relay.
Zaštita je ograničena na Safari
Private Relay je opciona funkcija za pretplatnike na iCloud+ i namenjena je prikrivanju IP adrese pri pretraživanju veba u Safariju. Ona nije virtuelna privatna mreža, odnosno VPN, pa ne štiti IP adresu na nivou čitavog sistema niti pokriva saobraćaj drugih aplikacija.
Razlika je važna pri proceni privatnosti na mobilnim uređajima. Korisnik može očekivati da je njegova mrežna adresa skrivena u Safariju, dok opisani propusti omogućavaju da se ona ipak otkrije. Istraživači su zato postavili javni test kojim svako može da proveri da li dolazi do curenja.
WebKit kao zajednička tačka
WebKit je ključan tehnički detalj jer ga na iOS-u koriste svi pregledači. Zbog toga se pitanje ne svodi samo na naziv aplikacije koju korisnik otvara, već na ponašanje pogona na kojem se prikaz veb sadržaja zasniva.
Mysk je naveo da istraživači nisu prijavili problem Appleu, obrazlažući odluku ranijim iskustvima sa dugim rokovima, neujednačenom komunikacijom i osporavanjem značaja pojedinih nalaza. Apple nije odmah odgovorio na zahtev za komentar.
Tim koji je pronašao problem razvija privatni pregledač Psylo i tvrdi da je u njega već ugradio mere za sprečavanje otkrivanja IP adrese. Tema se nadovezuje na propusti u Appleovoj zaštiti privatnosti i pokazuje da pojedinačne funkcije privatnosti treba procenjivati prema stvarnom obimu zaštite.
Praktičan zaključak za organizacije
Organizacije koje koriste iPhone i iPad ne bi trebalo da Private Relay smatraju zamenom za sistemsku mrežnu zaštitu. Potrebno je jasno razlikovati zaštitu Safarija od zaštite ostalog saobraćaja, proveriti zahteve za privatnost po aplikacijama i uskladiti interne mere sa nivoom rizika koji se zaista pokriva.