WebKit-IP-Lecks können iOS- und macOS-Nutzer hinter Private Relay und Tor enttarnen

Sicherheitsforscher haben WebKit-IP-Lecks entdeckt, die die tatsächlichen Netzwerkadressen von iOS- und macOS-Nutzern offenlegen können – selbst dann, wenn diese Browser-Proxys, iCloud Private Relay oder einige Tor-basierte Browser verwenden.

Die Erkenntnisse stammen von Mysk, einem auf Datenschutz spezialisierten Entwicklerteam, das Berichte über DNS-Lecks in seinem Psylo-Browser untersucht hat.

Nach Angaben der Forscher können mehrere Funktionen von WebKit den im Browser konfigurierten Proxy umgehen und direkte Verbindungen vom Gerät aus herstellen. Dadurch könnten die IP-Adresse eines Nutzers oder dessen normale DNS-Infrastruktur gegenüber Websites und anderen Onlinediensten offengelegt werden.

VPN-Lösungen auf Geräteebene sind von dem gemeldeten Problem nicht betroffen.

Drei WebKit-Funktionen können Proxys umgehen

Mysk identifizierte drei Funktionen in WebKit, Apples Browser-Engine, die Proxy-Einstellungen umgehen können.

Das erste Problem betrifft DNS-Prefetching. Websites können diese Funktion nutzen, um Domainnamen aufzulösen, bevor ein Besucher einen Link tatsächlich öffnet. WebKit kann diese DNS-Anfragen jedoch über den normalen DNS-Pfad des Geräts statt über den konfigurierten Proxy senden.

Dadurch können die normalerweise verwendeten DNS-Server eines Nutzers sowie möglicherweise Informationen über dessen Netzwerkverbindung offengelegt werden.

Das zweite Problem betrifft WebAuthn Related Origin Requests. WebAuthn unterstützt Passkeys und andere moderne Authentifizierungsmethoden. Related Origin Requests ermöglichen es, dass ein Passkey über miteinander verbundene Domains hinweg funktioniert.

Mysk zufolge werden diese Anfragen jedoch vom Systemdienst für Anmeldeinformationen und nicht vom Browser selbst gesendet. Dadurch können sie eine direkte Verbindung zu einem Server herstellen, ohne den konfigurierten Proxy zu verwenden.

Das dritte Problem betrifft WebTransport, ein neueres Web-Kommunikationsprotokoll, das ab iOS 26.4 verfügbar ist. Nach Angaben der Forscher kann WebTransport eine direkte HTTP/3-Verbindung aufbauen und dadurch die tatsächliche IP-Adresse des Geräts preisgeben.

Nutzer von Private Relay und Tor könnten betroffen sein

Die WebKit-IP-Lecks betreffen nicht nur normale Safari-Nutzer.

Mysk erklärte, dass die Probleme auch Apples iCloud Private Relay betreffen. Dieser Dienst soll die IP-Adresse eines Nutzers verbergen, indem der Datenverkehr über zwei Relay-Server geleitet wird. Außerdem werden DNS-Anfragen verschlüsselt, sodass keine einzelne Partei sowohl die Identität des Nutzers als auch die besuchten Websites kennen soll.

Eine direkte Anfrage, die diese Relay-Server umgeht, kann diesen Schutz jedoch aushebeln.

Das Problem könnte außerdem Tor-basierte Browser auf Apple-Plattformen betreffen. Alle Browser unter iOS müssen WebKit verwenden. Alternative Browser können daher – anders als unter Desktop-Betriebssystemen – keine eigene Browser-Engine einsetzen.

Laut den Forschern ist der Onion Browser nicht vom WebTransport-Problem betroffen, da dieses Protokoll dort deaktiviert wurde.

Risiken für Nutzer, die auf Anonymität angewiesen sind

Die Erkenntnisse könnten schwerwiegende Folgen für Menschen haben, die Browser-Proxys zum Schutz ihrer Privatsphäre und Sicherheit nutzen.

Journalisten, Aktivisten, Politiker, Forscher und Personen in Hochrisikoumgebungen verwenden solche Werkzeuge häufig, um ihre private, berufliche oder reisebezogene IP-Adresse zu verbergen.

Eine bösartige Website könnte eine Anfrage an einen vom Angreifer kontrollierten Server auslösen. Wenn diese Anfrage den Proxy umgeht, kann der Server die tatsächliche IP-Adresse des Besuchers ermitteln.

Eine IP-Adresse verrät nicht zwangsläufig den genauen Standort einer Person. Sie kann jedoch – abhängig von der Verbindung – Rückschlüsse auf den Internetanbieter, das Land, die Stadt, die Organisation oder das verwendete Netzwerk zulassen.

Psylo blockiert riskante Funktionen standardmäßig

Mysk hat seinen Psylo-Browser aktualisiert und blockiert nun standardmäßig DNS-Prefetch-Hinweise sowie WebTransport und WebAuthn.

Diese Änderungen schränken zwar einige Browserfunktionen ein, verhindern nach Angaben des Entwicklerteams jedoch die identifizierten Leckpfade. Nutzer können Passkeys und WebTransport bei Bedarf über die Einstellungen einzelner isolierter Browserprofile wieder aktivieren.

Die Forscher haben außerdem das Tor Project sowie die Entwickler des Onion Browser über ihre Erkenntnisse informiert.

Apple hatte den Bericht zum Zeitpunkt der Veröffentlichung nicht öffentlich kommentiert. Bis eine umfassendere Lösung verfügbar ist, sollten Nutzer, die auf ein hohes Maß an Anonymität angewiesen sind, eine VPN-Lösung auf Geräteebene verwenden, anstatt sich ausschließlich auf browserbasierte Proxy-Schutzmechanismen zu verlassen.