![\"Icloud](\"https:\/\/images.iphone-ticker.de\/wp-content\/uploads\/2022\/01\/icloud-private-relay.jpg\")
<\/a><\/p>\nEntdeckt wurden die Schwachstellen von den Sicherheitsforschern Tommy Mysk und Talal Haj Bakry. Sie haben drei WebKit-Funktionen identifiziert, deren Verbindungen nicht durch Apples zweistufiges Relay geleitet werden, sondern direkt vom Ger\u00e4t ausgehen.<\/p>\n
Passkey-Abfrage nimmt die Abk\u00fcrzung<\/h2>\n
Besonders problematisch ist der Zusammenhang mit Passkeys. Eine Webseite kann im Hintergrund pr\u00fcfen lassen, ob ein Passkey auch f\u00fcr eine verwandte Domain verwendet werden darf. Diese Anfrage \u00fcbernimmt nicht Safari selbst, sondern ein Systemdienst von iOS.<\/p>\n
Der Dienst kennt offenbar den Weg durch Privat-Relay nicht und verbindet sich direkt mit dem angegebenen Server. Dieser sieht dadurch die echte IP-Adresse. Ein sichtbares Passkey-Fenster oder eine Best\u00e4tigung des Nutzers ist daf\u00fcr nicht erforderlich. Die Webseite muss Passkeys lediglich unterst\u00fctzen \u2013 oder \u00fcberzeugend so tun.<\/p>\n
Drei Lecks in Apples WebKit<\/h2>\n
Zus\u00e4tzlich kann das seit iOS 26 unterst\u00fctzte Vorabladen von Domainnamen die tats\u00e4chlich verwendeten DNS-Server offenlegen. WebTransport wiederum baut seit iOS 26.4 direkte Verbindungen auf, die ebenfalls an einem konfigurierten Proxy und Apples Privat-Relay vorbeif\u00fchren k\u00f6nnen.<\/p>\n
Die Probleme betreffen nicht nur Safari. Auch iPhone-Browser, die ihren Datenverkehr \u00fcber WebKits Proxy-Schnittstelle umleiten, k\u00f6nnen betroffen sein. Dazu geh\u00f6rt etwa der von uns vorgestellte Datenschutz-Browser Psylo<\/a>. Dessen Entwickler haben die drei Funktionen in Version 1.3.1 vorsorglich deaktiviert.<\/p>\n Unter leaks.psylo.app<\/a> stellen die Forscher einen Test bereit. Dieser zeigt, ob der verwendete Browser die tats\u00e4chliche IP-Adresse oder DNS-Verbindung preisgibt.<\/p>\n Privat-Relay ist kein vollst\u00e4ndiges VPN. Apple sch\u00fctzt damit in erster Linie den Safari-Datenverkehr, w\u00e4hrend ein VPN die Netzwerkverbindungen des gesamten Ger\u00e4ts umleitet. Solche systemweiten Tunnel sind von den beschriebenen WebKit-Fehlern nicht betroffen.<\/p>\n Apple untersucht den Bericht. Nach Angaben der Forscher ist eine Korrektur f\u00fcr den Herbst geplant. Bis dahin gibt es in Safari keine Einstellung, mit der sich alle drei problematischen Funktionen gemeinsam abschalten lassen.<\/p>\n Ein einzelner Fehler l\u00e4sst Apples Datenschutzarchitektur noch nicht zusammenbrechen. Ung\u00fcnstig ist jedoch die H\u00e4ufung. Erst im Juli musste Apple eine Schwachstelle in \u201eE-Mail-Adresse verbergen\u201c<\/a> beheben, \u00fcber die sich reale Adressen hinter Apples Alias-Dienst ermitteln lie\u00dfen.<\/p>\n Nun verfehlt auch Privat-Relay unter bestimmten Bedingungen genau seine Kernaufgabe. F\u00fcr eine Funktion, die Apple als Bestandteil eines kostenpflichtigen Datenschutzpakets verkauft, ist \u201emeistens privat\u201c mittlerweile eine eher mittelpr\u00e4chtige Werbebotschaft.<\/p>\n<\/a><\/p>\nVPN-Verbindungen sind nicht betroffen<\/h2>\n
Zweiter Kratzer am Datenschutzversprechen<\/h2>\n