iPhone-Browser Safari: DNS- und IP-Leaks trotz iCloud Private Relay

Die Sicherheitsforscher Tommy Mysk und Talal Haj Bakry haben vor möglichen Leaks von IP-Adressen und DNS-Daten auf dem iPhone gewarnt, obwohl dies Apples Datenschutzdienst iCloud Private Relay eigentlich verhindern sollte. In einem neuen Paper nennen sie mindestens drei Wege, mit denen der Schutz durchbrochen werden kann, um Dritten diese privaten Daten zukommen zu lassen. Einen Workaround gibt es derzeit nicht. Betroffen sind offenbar auch macOS und iPadOS; neben iCloud Private Relay zudem auch Proxy-Dienste, nicht jedoch VPN-Verbindungen, so Mysk und Bakry.

IP-Adressen und echte DNS-Konfiguration

Das Problem entsteht aus drei Funktionen, die Apple in iOS 18, iOS 26 und iOS 26.4 in sein WebKit-Protokoll integriert hat. Entsprechend sind auch alle anderen iOS- und iPadOS-Browser betroffen, da Apple außerhalb der EU immer noch WebKit als Browser-Engine vorschreibt. Beim WebTransport-Protokoll, das Apple mit iOS 26.4 in WebKit eingebaut hat, werden Verbindungen über HTTP/3 direkt aufgebaut und Proxy sowie iCloud Private Relay schlicht umgangen. Server erhalten also die echte IP-Adresse.

WebAuthn mit der Funktion Related Origin Requests, das eine sichere Nutzeridentifizierung erlauben soll, nutzt das Betriebssystem, um eine Validierungsdatei herunterzuladen. Auch hierbei wird die echte IP-Adresse verwendet, das Feature besteht seit iOS 18 in WebKit. Schließlich fanden Mysk und Bakry ein problematisches Vorgehen beim sogenannten DNS-Prefetching. Dieses soll dabei helfen, Domain-Abfragen zu beschleunigen. In WebKit ist die Funktion aber so umgesetzt, dass der reguläre DNS-Pfad außerhalb des Proxys oder iCloud Private Relays verwendet wird. Damit werden die echten DNS-Server offengelegt.

Reaktion Apples noch unklar

Die Sicherheitsforscher haben eine Proof-of-Concept-Website aufgesetzt, mit der das Sicherheitsleck überprüft werden kann. Es bleibt zunächst unklar, ob Apple über die Leak-Möglichkeiten informiert wurde und was der Konzern dagegen plant. Die letzte von Mysk und Co. offengelegte Lücke in macOS, mit der Apps potenziell durch böse Kopien ersetzt werden können, hatte Apple nicht als Problem gesehen.

Unbefangen sind die Sicherheitsforscher nicht: Sie vertreiben selbst einen eigenen Browser namens Psylo im Abonnement, bei dem sie die genannten Lücken gestopft haben. DNS-Prefetch-Hints werden blockiert, WebTransport und WebAuthn sind abgeschaltet. Der WebKit-basierte Onion Browser soll von den Leaks nicht betroffen sein, wenn der „Silber“-Level mit Lockdown-Mode aktiv ist. Auf dem Mac kann man zu alternativen Browser-Engines greifen.

(bsc)