iCloud-Relay verrät echte IP-Adressen
Nach E-Mail-Leck: Auch Apples IP-Schutz wackelt
Apples iCloud Privat-Relay besitzt offenbar mehrere überraschende Ausfahrten. Die kostenpflichtige iCloud+-Funktion soll beim Surfen mit Safari die echte IP-Adresse verbergen. Entsprechend präparierte Webseiten können diese unter bestimmten Umständen trotzdem abrufen – teilweise ganz ohne sichtbare Nachfrage.
Entdeckt wurden die Schwachstellen von den Sicherheitsforschern Tommy Mysk und Talal Haj Bakry. Sie haben drei WebKit-Funktionen identifiziert, deren Verbindungen nicht durch Apples zweistufiges Relay geleitet werden, sondern direkt vom Gerät ausgehen.
Passkey-Abfrage nimmt die Abkürzung
Besonders problematisch ist der Zusammenhang mit Passkeys. Eine Webseite kann im Hintergrund prüfen lassen, ob ein Passkey auch für eine verwandte Domain verwendet werden darf. Diese Anfrage übernimmt nicht Safari selbst, sondern ein Systemdienst von iOS.
Der Dienst kennt offenbar den Weg durch Privat-Relay nicht und verbindet sich direkt mit dem angegebenen Server. Dieser sieht dadurch die echte IP-Adresse. Ein sichtbares Passkey-Fenster oder eine Bestätigung des Nutzers ist dafür nicht erforderlich. Die Webseite muss Passkeys lediglich unterstützen – oder überzeugend so tun.
Drei Lecks in Apples WebKit
Zusätzlich kann das seit iOS 26 unterstützte Vorabladen von Domainnamen die tatsächlich verwendeten DNS-Server offenlegen. WebTransport wiederum baut seit iOS 26.4 direkte Verbindungen auf, die ebenfalls an einem konfigurierten Proxy und Apples Privat-Relay vorbeiführen können.
Die Probleme betreffen nicht nur Safari. Auch iPhone-Browser, die ihren Datenverkehr über WebKits Proxy-Schnittstelle umleiten, können betroffen sein. Dazu gehört etwa der von uns vorgestellte Datenschutz-Browser Psylo. Dessen Entwickler haben die drei Funktionen in Version 1.3.1 vorsorglich deaktiviert.
Unter leaks.psylo.app stellen die Forscher einen Test bereit. Dieser zeigt, ob der verwendete Browser die tatsächliche IP-Adresse oder DNS-Verbindung preisgibt.
VPN-Verbindungen sind nicht betroffen
Privat-Relay ist kein vollständiges VPN. Apple schützt damit in erster Linie den Safari-Datenverkehr, während ein VPN die Netzwerkverbindungen des gesamten Geräts umleitet. Solche systemweiten Tunnel sind von den beschriebenen WebKit-Fehlern nicht betroffen.
Apple untersucht den Bericht. Nach Angaben der Forscher ist eine Korrektur für den Herbst geplant. Bis dahin gibt es in Safari keine Einstellung, mit der sich alle drei problematischen Funktionen gemeinsam abschalten lassen.
Zweiter Kratzer am Datenschutzversprechen
Ein einzelner Fehler lässt Apples Datenschutzarchitektur noch nicht zusammenbrechen. Ungünstig ist jedoch die Häufung. Erst im Juli musste Apple eine Schwachstelle in „E-Mail-Adresse verbergen“ beheben, über die sich reale Adressen hinter Apples Alias-Dienst ermitteln ließen.
Nun verfehlt auch Privat-Relay unter bestimmten Bedingungen genau seine Kernaufgabe. Für eine Funktion, die Apple als Bestandteil eines kostenpflichtigen Datenschutzpakets verkauft, ist „meistens privat“ mittlerweile eine eher mittelprächtige Werbebotschaft.
100% Schutz wird es auch nie geben. Die Frage ist welche VPN Lösung für den Privatgebrauch zutrifft, wenn man 2 Macbooks, 2 iPads, 2 iPhones und gelegentlich noch jeweils 2 schützen möchte. Eine 8er oder 10er Lizenz von „irgendwas“ ist ja auch schwierig zu bekommen, ohne gleich eine Business-Lizenz zu ordern?
ProtonVPN erlaubt 10 Verbindungen gleichzeitig, vielleicht wäre das was.
„Apples Datenschutz“ – ist das mutwillig oder können sie es wirklich nicht?
Gut, wenn etwas festgestellt wird, damit es zukünftig behoben werden kann.
GsD nutze ich keinen der kostenpflichtigen Dienste ^^
Ja super…. Aber Werbung mit Datenschutz machen…
Hoffentlich werden diese Löcher ganz schnell geschlossen! Langsam verliere auch ich das Vertrauen und fühle mich reingefallen ins Werbeversprechen!
Gibt noch mehr Fehler Wenn man die Spammeldungen blockt und man macht das über Jahre kommt man irgend wann mal an deren Grenze Bei 3000 ist diese erreicht Will man die löschen geht das nur einzeln und nicht mehrere oder alle auf einmal
Aber wehe ich fordere einen Teil meines monatlichen Beitrages zurück weil Apple mir nicht das gibt was versprochen ist!
Hochinteressante Dynamiken von denen der frontend Betrachter/Benutzer (ich) keine Ahnung hat. Das technische Verständnis dieser Berufsgruppe beeindruckt mich immer wieder…
Gibt genügend Kritik an der QUIC Technologie und der Vermischung von Layer 2 und 3….