Apple iCloud+: Κενό ασφαλείας μπορεί να αποκαλύψει την πραγματική IP διεύθυνση

Ένα σημαντικό ζήτημα ασφαλείας έρχεται στο προσκήνιο για το iCloud Private Relay, καθώς έρευνα των Tommy Mysk και Talal Haj Bakry υποστηρίζει ότι η πραγματική IP διεύθυνση ενός χρήστη μπορεί να αποκαλυφθεί όταν χρησιμοποιούνται passkeys σε συγκεκριμένες διαδικασίες ταυτοποίησης.

Το ζήτημα έχει ιδιαίτερο ενδιαφέρον, καθώς το Private Relay αποτελεί μία από τις υπηρεσίες του iCloud+ που έχουν σχεδιαστεί για την προστασία της ιδιωτικότητας κατά την περιήγηση στο διαδίκτυο.

Πώς μπορεί να διαρρεύσει η IP

Σύμφωνα με την έρευνα που επικαλείται το άρθρο, το πρόβλημα εμφανίζεται όταν ένας χρήστης επισκέπτεται έναν ιστότοπο που ζητά ταυτοποίηση μέσω passkey.

Υπό κανονικές συνθήκες, η κίνηση του Safari προστατεύεται μέσω της αρχιτεκτονικής του Private Relay. Ωστόσο, όταν ενεργοποιείται η διαδικασία επαλήθευσης ενός passkey, η υπηρεσία διαπιστευτηρίων του iOS μπορεί να επικοινωνήσει απευθείας με τον server του ιστοτόπου, παρακάμπτοντας τη διαδρομή που χρησιμοποιεί το Private Relay.

Αυτό σημαίνει ότι ο server του ιστοτόπου μπορεί να δει την πραγματική IP διεύθυνση της συσκευής, αντί για την IP που θα εμφανιζόταν μέσω του Private Relay.

Το Private Relay δεν είναι κανονικό VPN

Η συγκεκριμένη περίπτωση αναδεικνύει και μια σημαντική διαφορά ανάμεσα στο iCloud Private Relay και ένα παραδοσιακό VPN.

Το Private Relay λειτουργεί κυρίως ως proxy σε επίπεδο εφαρμογής για το Safari, ενώ ένα παραδοσιακό VPN δημιουργεί μια σύνδεση σε επίπεδο συστήματος, μέσω της οποίας δρομολογείται συνολικά η κίνηση της συσκευής.

Έτσι, υπηρεσίες ή διαδικασίες του λειτουργικού που δεν περνούν από το Safari μπορούν να ακολουθήσουν διαφορετική δικτυακή διαδρομή.

Στην περίπτωση των passkeys, αυτή ακριβώς η διαφοροποίηση φαίνεται να αποτελεί την αιτία της πιθανής διαρροής της IP.

Ποιοι χρήστες επηρεάζονται

Το ζήτημα αφορά το οικοσύστημα της Apple και συγκεκριμένα συσκευές όπου είναι διαθέσιμο το iCloud Private Relay, όπως iPhone, iPad και Mac.

Δεν πρόκειται, επομένως, για ένα πρόβλημα που αφορά γενικά όλες τις συσκευές ή όλους τους χρήστες του διαδικτύου.

Παράλληλα, το Private Relay δεν προστατεύει συνολικά κάθε διαδικτυακή δραστηριότητα όλων των εφαρμογών. Η λειτουργία του αφορά κυρίως την περιήγηση μέσω Safari και συγκεκριμένα αιτήματα DNS.

Τι μπορεί να κάνει ο χρήστης

Μέχρι να υπάρξει επίσημη διόρθωση από την Apple, το άρθρο προτείνει στους χρήστες που θεωρούν την ανωνυμία τους ιδιαίτερα σημαντική να εξετάσουν προσωρινές λύσεις.

Μία επιλογή είναι η αποφυγή χρήσης passkeys όπου αυτό είναι εφικτό, με επιστροφή σε ισχυρούς κωδικούς πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων (2FA).

Μια δεύτερη επιλογή είναι η χρήση ενός αξιόπιστου VPN σε επίπεδο συστήματος, το οποίο μπορεί να δρομολογεί συνολικά την κίνηση της συσκευής μέσω της VPN σύνδεσης.

Θα χρειαστεί ενημέρωση από την Apple

Σύμφωνα με το άρθρο, η Apple δεν έχει διαθέσει ακόμη επείγουσα ενημέρωση που να διορθώνει το συγκεκριμένο ζήτημα.

Η επίλυση αναμένεται να απαιτήσει ενημέρωση λογισμικού για iOS και macOS, χωρίς να έχει ανακοινωθεί μέχρι στιγμής συγκεκριμένο επίσημο χρονοδιάγραμμα.

Η άποψή μας στο TechNoid

Το συγκεκριμένο ζήτημα είναι ιδιαίτερα ενδιαφέρον επειδή δείχνει ότι η προστασία της ιδιωτικότητας δεν εξαρτάται μόνο από μία υπηρεσία, αλλά από ολόκληρη την αρχιτεκτονική του λειτουργικού συστήματος.

Το iCloud Private Relay μπορεί να προστατεύει αποτελεσματικά τη διαδικτυακή κίνηση που περνά από τη σχεδιασμένη διαδρομή του, όμως μια διαδικασία του ίδιου του iOS, όπως η επαλήθευση ενός passkey, μπορεί να ακολουθήσει διαφορετικό δρόμο.

Αυτό δεν σημαίνει ότι το Private Relay είναι άχρηστο ή ότι όλοι οι χρήστες της Apple εκθέτουν συνεχώς την IP τους. Το ζήτημα αφορά μια συγκεκριμένη περίπτωση χρήσης και αναδεικνύει έναν περιορισμό της συγκεκριμένης αρχιτεκτονικής.

Το σημαντικότερο πλέον είναι να δούμε πόσο γρήγορα θα αντιδράσει η Apple και αν η εταιρεία θα αντιμετωπίσει το πρόβλημα με μια αλλαγή στο iOS που θα διασφαλίζει ότι και οι διαδικασίες passkey θα ακολουθούν την προστατευμένη δικτυακή διαδρομή του Private Relay.

Συχνές ερωτήσεις

Τι είναι το iCloud Private Relay;
Είναι υπηρεσία του iCloud+ που έχει σχεδιαστεί για την προστασία της ιδιωτικότητας κατά την περιήγηση στο διαδίκτυο, κυρίως μέσω του Safari.

Ποιο είναι το πρόβλημα με τα passkeys;
Σύμφωνα με την έρευνα που επικαλείται το άρθρο, η διαδικασία επαλήθευσης ενός passkey μπορεί να πραγματοποιήσει απευθείας σύνδεση με τον server ενός ιστοτόπου, με αποτέλεσμα να αποκαλύπτεται η πραγματική IP διεύθυνση.

Επηρεάζονται οι χρήστες Android;
Όχι. Το iCloud Private Relay είναι υπηρεσία του οικοσυστήματος της Apple.

Είναι το Private Relay ίδιο με ένα VPN;
Όχι. Το Private Relay λειτουργεί κυρίως ως proxy για το Safari, ενώ ένα παραδοσιακό VPN μπορεί να δρομολογεί την κίνηση σε επίπεδο ολόκληρου του λειτουργικού συστήματος.

Έχει διορθωθεί το πρόβλημα;
Σύμφωνα με την πηγή, δεν έχει ανακοινωθεί ακόμη επίσημο patch από την Apple.