Sikkerhetsforskere har oppdaget WebKit-lekkasjer av IP-adresser som kan avsløre de virkelige nettverksadressene til iOS- og macOS-brukere, selv når de bruker nettleserproxyer, iCloud Private Relay eller enkelte Tor-baserte nettlesere.
Funnene kommer fra Mysk, et personvernfokusert utviklingsteam som undersøkte rapporter om DNS-lekkasjer i nettleseren Psylo.
Ifølge forskerne kan flere funksjoner i WebKit omgå en nettlesers konfigurerte proxy og opprette direkte forbindelser fra enheten. Dette kan eksponere en brukers IP-adresse eller vanlige DNS-infrastruktur overfor nettsteder og andre nettjenester.
VPN-løsninger på enhetsnivå påvirkes ikke av den rapporterte sårbarheten.
Tre WebKit-funksjoner kan omgå proxyer
Mysk identifiserte tre funksjoner som kan omgå proxyinnstillinger i WebKit, Apples nettlesermotor.
Det første problemet gjelder DNS-forhåndsoppslag. Nettsteder kan bruke denne funksjonen til å slå opp domenenavn før en besøkende faktisk åpner en lenke. WebKit kan imidlertid sende disse DNS-forespørslene via enhetens vanlige DNS-rute i stedet for gjennom den konfigurerte proxyen.
Det kan avsløre hvilke DNS-servere en bruker normalt benytter, og potensielt eksponere informasjon om vedkommendes nettverkstilkobling.
Det andre problemet gjelder WebAuthn Related Origin Requests. WebAuthn støtter passnøkler og andre moderne autentiseringsmetoder. Related Origin Requests gjør det mulig for en passnøkkel å fungere på tvers av tilknyttede domener.
Mysk opplyser imidlertid at disse forespørslene kommer fra systemets legitimasjonstjeneste i stedet for fra nettleseren. Dermed kan de koble seg direkte til en server uten å bruke den konfigurerte proxyen.
Det tredje problemet gjelder WebTransport, en nyere protokoll for webkommunikasjon som er tilgjengelig fra iOS 26.4. Forskerne opplyser at WebTransport kan opprette en direkte HTTP/3-forbindelse og dermed avsløre enhetens virkelige IP-adresse.
Brukere av Private Relay og Tor kan bli berørt
WebKit-lekkasjene kan påvirke flere enn vanlige Safari-brukere.
Mysk opplyser at problemene også rammer Apples iCloud Private Relay, som er utviklet for å skjule en brukers IP-adresse ved å sende trafikken gjennom to reléservere. Systemet krypterer også DNS-forespørsler slik at ingen enkelt part skal kunne se både brukerens identitet og hvilke nettsteder vedkommende besøker.
En direkte forespørsel som omgår reléserverne, kan imidlertid svekke denne beskyttelsen.
Problemet kan også påvirke Tor-baserte nettlesere på Apples plattformer. Alle nettlesere på iOS må bruke WebKit, noe som betyr at alternative nettlesere ikke kan benytte egne nettlesermotorer slik de kan på stasjonære operativsystemer.
Ifølge forskerne påvirkes ikke Onion Browser av WebTransport-problemet fordi protokollen er deaktivert der.
Risiko for brukere som er avhengige av anonymitet
Funnene kan få alvorlige konsekvenser for personer som er avhengige av nettleserproxyer for personvern og sikkerhet.
Journalister, aktivister, politikere, forskere og personer i høyrisikomiljøer kan bruke slike verktøy for å unngå å avsløre IP-adressen hjemme, på arbeidsplassen eller under reiser.
Et ondsinnet nettsted kan potensielt utløse en forespørsel til en server kontrollert av en angriper. Dersom forespørselen omgår proxyen, kan serveren identifisere den besøkendes virkelige IP-adresse.
En IP-adresse avslører ikke nødvendigvis en persons nøyaktige plassering. Den kan likevel identifisere internettleverandør, land, by, organisasjon eller nettverk, avhengig av tilkoblingen.
Psylo blokkerer risikofylte funksjoner som standard
Mysk har oppdatert Psylo-nettleseren slik at DNS-forhåndsoppslag blokkeres, og WebTransport og WebAuthn deaktiveres som standard.
Disse endringene begrenser enkelte nettleserfunksjoner, men teamet opplyser at de stopper de identifiserte lekkasjeveiene. Brukere kan aktivere passnøkler og WebTransport igjen gjennom innstillinger for hver enkelt isolerte nettleserprofil ved behov.
Forskerne har også varslet Tor Project og utviklerne av Onion Browser om funnene.
Apple hadde ikke kommentert rapporten offentlig da artikkelen ble publisert. Inntil en mer omfattende løsning er tilgjengelig, anbefales brukere som trenger sterk anonymitet å benytte en VPN-løsning på enhetsnivå i stedet for å stole utelukkende på nettleserbaserte proxybeskyttelser.
0 responses to “WebKit-lekkasjer av IP-adresser kan avsløre iOS- og macOS-brukere bak Private Relay og Tor”