iCloud Private Relay schützt nicht lückenlos: Drei WebKit-Leaks können echte IP-Adressen offenlegen und Apples Privatsphäre-Schutz umgehen.
Drei WebKit-Features können den Schutz von iCloud Private Relay aushebeln. Betroffen sind DNS-Prefetching, WebAuthn und WebTransport. Die IP-Adresse kann dabei auch ohne das Zutun des Nutzers nach außen gelangen.
Apples iCloud Private Relay soll eigentlich die Identität von Nutzern beim Surfen schützen. Sicherheitsforscher haben jedoch gleich drei WebKit-Mechanismen entdeckt, die den vorgesehenen Proxy-Pfad umgehen können. Dadurch lässt sich, selbst wenn der Privatsphäre-Dienst aktiviert ist, die echte IP-Adresse eines Geräts offenlegen.
iCloud Private Relay: WebKit umgeht Apples Schutzmechanismus
Die Sicherheitsforscher Talal Haj Bakry und Tommy Mysk haben mehrere Schwachstellen im Netzwerkverhalten von WebKit untersucht. WebKit ist Apples Browser-Engine und bildet die technische Grundlage für Safari sowie zahlreiche Browserfunktionen auf iOS und iPadOS. Die Engine umfasst eine Vielzahl von Web-APIs sowie Funktionen für HTML, CSS, JavaScript, Netzwerkverbindungen, Medien und Sicherheit. Die Forscher haben darin drei konkrete Mechanismen untersucht, die den vorgesehenen Proxy-Weg umgehen und Verbindungen direkt vom Gerät aufbauen können: DNS-Prefetching, WebAuthn Related Origin Requests und WebTransport.
Das Problem betrifft damit nicht nur Apples Safari. Da sämtliche Browser unter iOS und iPadOS auf WebKit angewiesen sind, können auch Drittanbieter-Browser betroffen sein, insofern sie die WebKit-Proxy-Schnittstellen für ihre Datenverbindungen verwenden.
Der von Apple angebotene Privatsphäre-Dienst leitet Safaris Web-Traffic und DNS-Anfragen über zwei Relays. Dadurch soll verhindert werden, dass Apple oder ein anderer Beteiligter gleichzeitig erkennen kann, wer der Nutzer ist und welche Websites er besucht. An dieser Schutzkette setzen die entdeckten WebKit-Leaks an. Laut den Forschern befinden sich die problematischen Netzwerkzugriffe außerhalb des normalen Seitenladepfads und können dadurch den vorgesehenen Proxy-Weg umgehen.
Drei WebKit-Funktionen werden zum Problem
Konkret haben die Forscher drei unterschiedliche Mechanismen identifiziert, nämlich DNS-Prefetching, WebAuthn Related Origin Requests und WebTransport. Nicht alle drei funktionieren dabei auf dieselbe Weise. Gemeinsam ist ihnen jedoch, dass sie Netzwerkzugriffe außerhalb des von der jeweiligen Anwendung konfigurierten Proxy-Pfads ermöglichen.
Damit kann eine Website Informationen über das tatsächliche Netzwerk des Besuchers erhalten. Bei WebAuthn und WebTransport geht es dabei unmittelbar um die echte IP-Adresse des Geräts. DNS-Prefetching kann dagegen die reguläre DNS-Infrastruktur des Nutzers sichtbar machen.
DNS-Prefetching: DNS-Anfragen gehen am Proxy vorbei
Beim DNS-Prefetching versucht der Browser, Hostnamen bereits vor dem eigentlichen Verbindungsaufbau aufzulösen. Das soll Webseiten schneller laden lassen. WebKit führt diese Auflösung jedoch über den normalen DNS-Weg des Geräts aus, wenn eine entsprechende dns-prefetch-Anweisung auf einer Website eingebunden ist. Ein gesetzter Proxy wird dabei umgangen.
Für einen gezielten Angriff reicht es laut den Forschern aus, eindeutige Hostnamen in solche Anfragen einzubauen. Der Betreiber der dazugehörigen DNS-Infrastruktur kann dann erkennen, aus welchem realen Netzwerk die Anfrage stammt. Auch bei aktiviertem iCloud Private Relay werden diese DNS-Prefetch-Anfragen nicht über den vorgesehenen Schutzweg geleitet. Die Funktion wurde auf iOS erst mit Version 26.0 aktiviert. Auf dem Desktop unterstützt Safari DNS-Prefetching bereits seit längerer Zeit.
WebAuthn: Passkey-Technik kann IP-Adresse preisgeben
WebAuthn bildet die technische Grundlage für Passkeys und ermöglicht eine passwortlose Anmeldung an Websites. Bei Related Origin Requests ruft das System eine Validierungsdatei unter einer anderen Domain ab. Dieser Abruf wird laut den Forschern nicht über den normalen Netzwerk-Stack des Browsers durchgeführt. Stattdessen übernimmt der Systemdienst für die Zugangsdaten die Anfrage selbst. Dabei berücksichtigt er die vom Browser konfigurierte Proxy-Einstellung nicht und baut die HTTPS-Verbindung direkt vom Gerät aus auf. Dadurch kann der Zielserver die tatsächliche IP-Adresse des Nutzers sehen.
Dafür ist keine aktive Interaktion des Nutzers erforderlich. Laut den Forschern kann eine Website eine WebAuthn-Anfrage so konfigurieren, dass der Abruf bereits ohne sichtbare Benutzeroberfläche ausgelöst wird.
WebTransport baut direkte Verbindung auf
Der dritte Angriffspunkt heißt WebTransport. Die Technologie soll Websites schnelle und latenzarme Verbindungen ermöglichen. Sie stellt zudem eine Alternative zu WebSockets dar. WebTransport verwendet HTTP/3 beziehungsweise QUIC. Problematisch ist, dass WebKit die Verbindung mit eigenen Netzwerkparametern aufbaut und dabei den konfigurierten Proxy nicht berücksichtigt.
Der Server kann dadurch die echte IP-Adresse des Geräts erkennen, obwohl der Browser eigentlich über einen Proxy kommunizieren sollte. WebTransport wurde auf iOS erst mit Version 26.4 öffentlich ausgeliefert. Damit handelt es sich um eine vergleichsweise neue Funktion, die jedoch einen weiteren Weg eröffnet, den vorgesehenen IP-Schutz zu umgehen.
WebKit hebelt Apples IP-Schutz aus
Der Apple-Dienst ist nicht grundsätzlich wirkungslos. Die Schwachstelle zeigt sich vielmehr in der Annahme, dass sämtlicher relevanter Datenverkehr durch den geschützten Relay-Pfad läuft. Die problematischen WebKit-Funktionen greifen allerdings außerhalb des normalen Seitenladeprozesses auf das Netzwerk zu. Dadurch können diese Verbindungen den vorgesehenen Schutz von iCloud Private Relay umgehen und damit die echte IP-Adresse des Nutzers offenlegen.
iCloud Private Relay ist seit iOS 15 Bestandteil von iCloud+. Es wurde entwickelt, um Safari-Verbindungen über zwei getrennte Relays zu führen. Dadurch soll verhindert werden, dass eine einzelne Instanz gleichzeitig Identität und besuchte Website zusammenführen kann. Die nun beschriebenen WebKit-Mechanismen setzen jedoch außerhalb dieses vorgesehenen Pfads an.
Laut den Forschern betrifft das Problem neben iOS auch macOS sowie WebKit-basierte Browser, die auf die entsprechenden Proxy-Konfigurationen setzen. Allerdings ist nicht jeder Browser und auch nicht jedes Gerät ist gleichermaßen verwundbar. Die Forscher weisen darauf hin, dass z.B. Desktop-Chrome von den beschriebenen Leaks nicht betroffen ist. Auch eine aktive VPN-Verbindung kann die beschriebenen Probleme verhindern, weil der gesamte Netzwerkverkehr auf Systemebene über den VPN-Tunnel geführt wird.
Apples App-Store-Vorgaben verlangen von Browsern, WebKit zu verwenden. Deshalb können die Schwachstellen solche Browser betreffen, die WebKit und dessen Proxy-Konfigurationen für ihre Verbindungen einsetzen. Auch Tor-Browser für iOS sind laut den Forschern betroffen. Gerade da, wo Nutzer ihre Netzwerkidentität verbergen wollen, zeigt sich die Schwachstelle.
Eine Ausnahme gibt es bei Onion Browser. Hier verhindert die Sicherheitsstufe „Silver“ durch den Einsatz des Lockdown Mode die Nutzung von WebTransport. Für diesen konkreten Leak ist der Browser unter dieser Konfiguration daher nicht betroffen.
Forscher stellen Testseite bereit
Um die Auswirkungen nachvollziehbar zu machen, haben Bakry und Mysk eine Proof-of-Concept-Seite eingerichtet. Darüber lässt sich überprüfen, ob die eigene reale IP-Adresse trotz aktiviertem Proxy oder aktiviertem iCloud Private Relay sichtbar wird.
Die Forscher unterscheiden dabei zwischen dem normalen HTTPS-Datenverkehr und möglichen IP-Leaks. Eine erkannte Schwachstelle bedeutet hier allerdings nicht, dass jeder Browser in jeder Konfiguration tatsächlich die IP-Adresse preisgibt.
Psylo reagiert bereits mit Gegenmaßnahmen
Das Mysk-Team, das hinter der Untersuchung und dem Privacy-Browser Psylo steht, hat nach eigenen Angaben bereits reagiert. Mit Version 1.3.1 blockiert der Browser DNS-Prefetching und deaktiviert WebTransport sowie WebAuthn standardmäßig.
Wer eine der Funktionen benötigt, kann sie dennoch für einzelne Umgebungen wieder aktivieren. Die Entwickler setzen damit auf ein Opt-in-Modell, bei dem Nutzer bewusst entscheiden können, ob sie die jeweilige Funktion trotz des damit verbundenen Datenschutzrisikos verwenden möchten.
Die Forscher haben nach eigenen Angaben zudem das Tor Project und die Entwickler des Onion Browsers über die Probleme informiert.
iCloud Private Relay: Apple untersucht den Fall
Auf eine Anfrage von The Hacker News hat Apple zunächst nicht reagiert. Gegenüber 404 Media erklärte das Unternehmen jedoch, den Bericht der Forscher zu untersuchen. Damit ist derzeit noch offen, wie Apple mit den WebKit-basierten Netzwerkzugriffen künftig umgehen und verhindern will, dass diese den vorgesehenen Schutzpfad umgehen.
Die Untersuchung zeigt damit, dass iCloud Private Relay und WebKit beim Netzwerkverkehr nicht in allen Fällen wie vorgesehen zusammenspielen. Für Apple ist das ein unangenehmer Befund. iCloud Private Relay soll verhindern, dass die Safari-Kommunikation direkt mit der IP-Adresse des Nutzers in Verbindung gebracht werden kann. Nutzt jedoch eine der untersuchten WebKit-Funktionen einen eigenen Netzwerkweg außerhalb des vorgesehenen Proxy-Pfads, kann die echte Netzwerkidentität des vermeintlich abgeschirmten Nutzers sichtbar werden.
Bis Apple eine eigene Lösung bereitstellt, sollten Nutzer sich darüber im Klaren sein, dass ein aktivierter Relay-Dienst keine vollständige Anonymisierung gewährleisten könnte. Wer seine gesamte Netzwerkkommunikation auf Systemebene absichern möchte, ist mit einem VPN auf Systemebene technisch besser aufgestellt. Dort wird der komplette Datenverkehr durch den VPN-Tunnel geführt.
