'Apples Private Relay lekt soms echte IP-adressen naar websites'

Gebruikers zijn met de vpn-achtige Private Relay-functie, of Privédoorgifte in het Nederlands, mogelijk niet zo anoniem als Apple doet vermoeden. Beveiligingsonderzoekers ontdekten dat de Safari-browser soms ook met die functie het echte IP-adres van gebruikers deelt met websites.

Dit nieuws in het kort

• Onderzoekers ontdekten verschillende manieren waarop websites de IP-adressen van iOS-bezoekers kunnen achterhalen, ook als die bezoekers gebruikmaken van browserproxy's als Private Relay.
• Dat is onder meer mogelijk via DNS-prefetching en het gebruik van passkeys.
• Apple belooft de problemen deze herfst op te lossen.

Private Relay is een soort vpn voor Safari op iOS en macOS die al het verkeer langs twee relays stuurt. Dat moet voorkomen dat websites het IP-adres en de locatie van de gebruiker kunnen zien. In veel gevallen werkt die functie alleen niet, melden beveiligingsonderzoekers Tommy Mysk en Talal Haj Bakry.

Proof-of-conceptwebsite van de onderzoekers

Dat komt volgens hen onder meer door de onderliggende browserengine van Safari: Apple WebKit. Deze engine verwerkt DNS-prefetching-verzoeken buiten de proxy om. Een website kan hier misbruik van maken door voor iedere gebruiker een unieke hostnaam aan te maken. Zo kunnen websites toch de IP-adressen van gebruikers achterhalen.

Ook bij het gebruik van passkeys worden browserproxy's als Private Relay omzeild, melden de onderzoekers. Het besturingssysteem handelt het verzoek daarbij af in plaats van de browser, waardoor gebruikers alsnog hun IP-adres delen. Tot slot omzeilt ook de nieuwe WebTransport-functie, die een directe HTTP/3-verbinding tot stand brengt, de proxy's.

Deze problemen zijn volgens de onderzoekers niet alleen van toepassing op Safari's Private Relay, maar ook op andere browsers die beweren het netwerkverkeer van gebruikers te versleutelen. De meeste iOS-browsers, waaronder privacygerichte browsers als Onion Browser, maken bijvoorbeeld standaard gebruik van Apple WebKit. 'Echte' vpn's worden hier niet door getroffen, omdat die het verkeer op systeemniveau versleutelen.

De onderzoekers hebben de problemen bij Apple gemeld. Het bedrijf werkt aan een oplossing. Die moet in de herfst beschikbaar komen.

Reacties (21)

[rrs2]

Gelukkig is het niet meer verplicht om de safari engine te gebruiken, waardoor de genoemde Onion browser en anderen kunnen loskomen van deze iOS browser engine monocultuur.

[Pendora]

Eens maar we weten allebei dat dit waarschijnlijk eerder gaat leiden tot alles over naar Chromium zodat Google helemaal geen concurrentie meer heeft.

[Menesis]

Verdient Google daar dan aan?

[Martin.Air]

Zeker, Chromium heeft veel ingebakken zitten om het voor Google makkelijker te maken de gebruiker te tracken en reclame aan te bieden. Nu werken een goed aantal browsers hier gedeeltelijk omheen, maar niet alles is te omzeilen.

De enige manier om hier Google niet in de kaart te spelen is door een andere browser engine te gebruiken. Zoals Firefox doet.

Daarnaast is het met een redelijke zekerheid te zeggen dat zodra er geen alternatieve browser engines meer gebruikt worden er nog meer restricties aan Chromium toegevoegd worden waardoor prive browsen meer en meer onmogelijk wordt.
Dit is al te zien met de beperkingen die nu al in Chromium zitten sinds hun marktaandeel stijgt, daarvoor was juist Chromium ook heel netjes in hoe daar mee omgegaan werd.

[D.nukem]

Vergeet ook niet het indicte voordeel voor Google, ze bepalen in grote maten de standaarden van Chromium en daarmee dus hoe effectief plugins zoals adblockers zullen zijn.

En de vraag is dan, hoelang een ontwikkelaar op Chromium de "Google" engine kan blijven negeren, ik kan me voorstellen dat Google meer en meer diensten vast zet en verweeft met hun welgevalligene engine.

Kan de ontwikkelaar beter gelijk naar Firefox overstappen als ze toch een andere engine willen bouwen dan die Google ze aanbiedt.

[Holzschuh]

Data = geld

En je bepaald de standaard als iedereen je systeem gebruikt.

[sdziscool]

ja, miljarden

[virtualpimp]

Klopt juridisch, maar in de praktijk is er nog niks veranderd. Sinds iOS 17.4 mag het in de EU (en sinds 26.2 in Japan), maar in ruim twee jaar heeft nog geen enkele browser daadwerkelijk een andere engine uitgebracht. Chrome, Edge, Firefox, Brave en ook Onion Browser draaien vandaag allemaal nog gewoon op WebKit. Microsoft kwam in juni het verst met een Blink-prototype van Edge, maar dat is expliciet research zonder releasedatum. De drempel is dat je er een aparte app voor moet uitbrengen die alleen in de EU werkt.

[PrimusIP]

Het is ook geen wondermiddel. En sommige websites doen ook moeilijk met Private Relay (rond met name registratie in inloggen). Maar het is fijn dat het er is. Wil je het goed aanpakken, neem je een VPN. Maar dit is een mooie toepassing voor mensen die dat niet doen of er niet over nadenken.

[roelboel]

Mee oneens. Ik heb het altijd aanstaan en verwacht dat het op z’n minst mijn ip verbergt, zoals Apple hun product adverteert. En dat dan altijd, zonder deze lekken. Lijkt me een realistische verwachting, niet?

[Pinkys Brain]

Dat DNS dansje is een exploit, maar voor die andere twee lijkt het alsof ze niemand de taak hebben gegeven om in de gaten te houden hoe nieuwe features met de sandbox samenwerken.

Het is een mooie feature, maar er moet wel iemand eigenaarschap en tijd voor hebben om het bij te houden.

[Quintiemero]

Al vrij lang bekend toch? Komt om de paar maand weer terug.

[roelboel]

Bron?

[Willemonl]

Ik vind het eerlijk gezegd spijkers op laag water zoeken. In 99% van de gevallen (of meer) gaat het helemaal goed zoals bedoelt. Als je hier echt van afhankelijk bent neem je inderdaad wel een VPN.

[specs2021]

"Neem je een VPN" is inderdaad de enige optie. En er is 1 zekerheid in het leven, je krijgt waar je voor betaald. Een "gratis" VPN is hooguit een best effort. Als je geluk hebt stroomt er geen bloed uit, zoals bij Opera.

Wil je zekerheid, doe dan je huiswerk en kies met je portemonee in plaats van de subtiele "ik loop mee met de massa en hoop dat het goed komt".

[haagsepracht]

Hoe zet je private relay helemaal uit? Hier lijkt geen optie voor te zijn in iOS. Ik gebruik een eigen VPN.

[CharlesND]

En dit is niet eens sarcastisch bedoeld:
Als Apple dat verbergen van je IP adres zo goed in Safari weet te integreren dat betaalde VPN diensten voor het overgrote deel van het publiek geen meerwaarde meer hebben, hoe lang duurt het dan voor de EU met de DMA in de hand bij Apple op de stoep staat met een dreigende miljoenenboete vanwege de oneerlijk concurrentie dankzij hun machtspositie als eigenaar van iOS waardoor ze concurrerende VPN diensten aanbieders uit de markt drukken??

[Pietopdeheuvel]

Met een marktaandeel van ~18,69% over alle platformen zou ik het niet een dominante marktpositie noemen.