Säkerhetsforskare har upptäckt WebKit-läckor av IP-adresser som kan avslöja de verkliga nätverksadresserna för iOS- och macOS-användare, även när de använder webbläsarproxytjänster, iCloud Private Relay eller vissa Tor-baserade webbläsare.
Upptäckten kommer från Mysk, ett integritetsinriktat utvecklingsteam som undersökte rapporter om DNS-läckor i sin webbläsare Psylo.
Enligt forskarna kan flera funktioner i WebKit kringgå en webbläsares konfigurerade proxy och ansluta direkt från enheten. Det kan exponera en användares IP-adress eller vanliga DNS-infrastruktur för webbplatser och andra onlinetjänster.
VPN-tjänster på enhetsnivå påverkas inte av den rapporterade sårbarheten.
Tre WebKit-funktioner kan kringgå proxytjänster
Mysk identifierade tre funktioner som kan kringgå proxyinställningar i WebKit, Apples webbläsarmotor.
Det första problemet gäller DNS-förhämtning. Webbplatser kan använda funktionen för att slå upp domännamn innan en besökare aktivt öppnar en länk. WebKit kan dock skicka dessa DNS-förfrågningar via enhetens vanliga DNS-väg i stället för genom den konfigurerade proxyn.
Det kan avslöja vilka DNS-servrar en användare normalt använder och potentiellt exponera information om dennes nätverksanslutning.
Det andra problemet gäller WebAuthn Related Origin Requests. WebAuthn stöder passkeys och andra moderna autentiseringsmetoder. Related Origin Requests gör det möjligt för en passkey att fungera mellan sammanlänkade domäner.
Mysk uppger dock att dessa förfrågningar skickas från systemets autentiseringstjänst i stället för från webbläsaren. Därför kan de ansluta direkt till en server utan att använda den konfigurerade proxyn.
Det tredje problemet rör WebTransport, ett nyare protokoll för webbkommunikation som finns tillgängligt från iOS 26.4. Forskarna uppger att WebTransport kan upprätta en direkt HTTP/3-anslutning och därmed avslöja enhetens verkliga IP-adress.
Användare av Private Relay och Tor kan påverkas
WebKit-läckorna kan påverka fler än vanliga Safari-användare.
Mysk uppger att problemen även påverkar Apples iCloud Private Relay, som är utformat för att dölja en användares IP-adress genom att dirigera trafiken via två reläservrar. Systemet krypterar också DNS-förfrågningar så att ingen enskild part ska kunna se både användarens identitet och vilka webbplatser som besöks.
En direkt förfrågan som kringgår reläservrarna kan dock underminera dessa skydd.
Problemet kan också påverka Tor-baserade webbläsare på Apples plattformar. Alla webbläsare på iOS måste använda WebKit, vilket innebär att alternativa webbläsare inte kan använda egna webbläsarmotorer på samma sätt som på stationära operativsystem.
Enligt forskarna påverkas inte Onion Browser av WebTransport-problemet eftersom protokollet är inaktiverat där.
Risker för användare som förlitar sig på anonymitet
Upptäckten kan få allvarliga konsekvenser för personer som använder webbläsarproxytjänster för att skydda sin integritet och säkerhet.
Journalister, aktivister, politiker, forskare och personer i högriskmiljöer kan använda dessa verktyg för att undvika att avslöja sina IP-adresser hemma, på arbetsplatsen eller under resor.
En skadlig webbplats skulle kunna utlösa en förfrågan till en server som kontrolleras av en angripare. Om förfrågan kringgår proxyn kan servern identifiera besökarens verkliga IP-adress.
En IP-adress avslöjar inte alltid en persons exakta plats. Den kan däremot identifiera internetleverantör, land, stad, organisation eller nätverk beroende på anslutningen.
Psylo blockerar riskfyllda funktioner som standard
Mysk har uppdaterat webbläsaren Psylo för att blockera DNS-förhämtningshintar och inaktivera WebTransport och WebAuthn som standard.
Dessa förändringar begränsar vissa funktioner i webbläsaren, men teamet uppger att de förhindrar de identifierade läckvägarna. Användare kan återaktivera passkeys och WebTransport via inställningar för enskilda isolerade webbläsarmiljöer vid behov.
Forskarna har också informerat Tor Project och utvecklarna bakom Onion Browser om upptäckten.
Apple hade inte kommenterat rapporten offentligt vid tidpunkten för publiceringen. Tills en mer omfattande lösning finns tillgänglig rekommenderas användare som behöver starkare anonymitet att använda en VPN-tjänst på enhetsnivå i stället för att enbart förlita sig på webbläsarbaserade proxytjänster.
0 svar till ”WebKit-läckor av IP-adresser kan avslöja iOS- och macOS-användare bakom Private Relay och Tor”