LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, dass Apples iCloud Private Relay bei bestimmten WebKit-Funktionen die echte IP-Adresse eines Nutzers offenbaren kann. Das Problem hängt laut Analyse mit DNS prefetching, WebAuthn Related Origin Requests und WebTransport zusammen. Damit könnten auch Passkey-fähige Webseiten Nutzerspuren über die normale Proxy-Route hinaus verknüpfen, selbst wenn das iCloud-Feature aktiv ist. Ein Proof-of-Concept-Seitenaufbau soll den Leak-Status direkt im Browser prüfbar machen.
Apples iCloud Private Relay gilt für viele Nutzer als zentrale Stellschraube, um die Privatsphäre beim Safari-Webzugriff zu erhöhen. Die Idee dahinter: Der Browserverkehr wird über eine Dual-Hop-Architektur geleitet, sodass weder ein einzelner Dienstanbieter noch Apple selbst den Ursprung der Anfrage und das Ziel gleichzeitig eindeutig bestimmen kann. Entwickelt wurde das Ganze mit iOS 15 und ist Teil des iCloud+ Abos. Für die Sicherheitspraxis ist jedoch entscheidend, wie die Schutzlogik in den Browser-Stack eingreift – und genau hier setzen nun veröffentlichte Details an.
Die Forscher Talal Haj Bakry und Tommy Mysk machen eine Schwachstelle in Apples WebKit fest, die den Schutzpfad an drei Stellen aushebeln kann: DNS prefetching, WebAuthn Related Origin Requests und WebTransport. Konkret lautet die Kernaussage, dass diese Funktionen den konfigurierten Proxy „bypass[en] und Traffic direkt vom Gerät senden“, wodurch die echte Netzwerkidentität sichtbar wird. In der Folge können Webseiten trotz aktivem Private Relay die reale IP-Adresse des Clients erhalten und dadurch Nutzersitzungen besser zuordnen – ein Szenario, das mit dem Datenschutzversprechen von Private Relay kollidiert, weil der Dual-Hop dann nicht mehr die vollständige Isolation zwischen Anfragesender und -ziel gewährleistet.
Technisch ist WebKit als zentraler Vermittler in mehreren Umgebungen relevant: Safari nutzt WebKit als Standard-Engine, und auch Drittanbieterbrowser auf iOS und iPadOS (etwa Chrome, Edge oder Firefox) laufen dort auf derselben WebKit-Basis. Die beschriebenen Leaks sollen deshalb nicht nur Safari betreffen, sondern allgemein jeden Browser, der die WebKit-Proxy-Konfigurations-APIs entsprechend einsetzt. Zudem nennen die Forscher auch macOS als betroffenes Umfeld. Das erhöht die Tragweite, weil es weniger eine isolierte Safari-Implementierung ist, sondern eher ein breiteres API- und Laufzeitproblem innerhalb der WebKit-Schicht.
Besonders brisant wird die Lage im Kontext von Passkeys: WebAuthn wird verwendet, um Benutzern das risikoreduzierende Login über passwortlose Verfahren zu ermöglichen. Nach den vorliegenden Angaben können „jede Webseite WebAuthn (die API für Passkeys) so konfigurieren, dass WebKit die echte IP-Adresse des Browsers offenlegt“, selbst wenn iCloud Private Relay in Safari aktiv ist. Tommy Mysk beschreibt weiter: „Because of the nature of the bug, the website has to deliberately exploit it to associate the user’s current browsing session with the leaked IP address. This does not require any user interaction or the use of passkeys.“ Für Unternehmen und Sicherheitsverantwortliche ist das ein wichtiger Punkt, weil daraus abgeleitet wird, dass Nutzeraktionen nicht zwingend nötig sind, sofern eine Webseite die entsprechende Schachstelle gezielt ansteuert.
Als praktischer Nachweis steht ein Proof-of-Concept namens „leaks.psylo[.]app“ bereit. Solche Testseiten sind meist zweigeteilt: Während der Bereich „HTTPS Traffic“ den normalen Verbindungsstrom zeigt, visualisiert „Possible IP leaks“ offenbar, wie und wo die echte IP-Adresse aus dem erwarteten Proxy-Pfad herausfallen kann. Dabei ordnen die Forscher das Risiko bewusst als „possible“ ein: Nicht jeder Browser sei gleichermaßen betroffen; zum Beispiel sei Desktop-Chrome laut den Angaben nicht betroffen. Außerdem sollen Leaks mitigiert werden, wenn der Nutzer mit einem VPN verbunden ist – ein Hinweis darauf, dass alternative Netzwerkpfade die Proxy-Bypass-Auswirkungen in der Praxis abfedern können.
Dass es bei Private Relay bereits zuvor Auffälligkeiten gab, ordnet die aktuelle Meldung in eine wiederkehrende Sicherheitsrealität ein. Kurz nach dem Release 2021 hatte FingerprintJS bereits eine WebRTC-basierte Mechanik thematisiert, die echte IPs leaken konnte. Wenige Monate zuvor wurde zudem ein anderes Datenschutzproblem rund um „Hide My Email“ beschrieben, bei dem reale E-Mail-Adressen unter bestimmten Bedingungen entmaskiert werden konnten. Die Parallele ist weniger ein einzelner Bug als vielmehr die grundsätzliche Herausforderung: Privacy-Techniken, die Verkehr über Proxies, Relays oder spezielle Browsermechaniken umleiten, müssen mit modernen Web-APIs wie WebAuthn und WebTransport konsistent bleiben. Sobald einzelne Transport- oder Namensauflösungswege an der Proxy-Logik vorbeilaufen, kippt der Schutzmechanismus.
Apple hat auf eine Anfrage nach Einschätzung zunächst nicht unmittelbar reagiert. Laut Angaben aus einer Kommunikation an eine Medienadresse untersucht das Unternehmen aber den Bericht der Forscher. Für die nächsten Schritte ist aus Sicht der Betreiber und Entwickler entscheidend, welche WebKit-Teile in zukünftigen Updates die Proxy-Policy konsequent durchsetzen und wie stark sich die Kette zwischen DNS-Auflösung, Origin-Abläufen und HTTP/3-Verbindungen (WebTransport) künftig validieren lässt. Besonders für Organisationen, die stark auf Browser-Sicherheit und datenschutzkonforme Zugriffe setzen, heißt das auch: Private Relay sollte nicht als „vollständig alleinstehende“ Schutzgarantie betrachtet werden, sondern als Baustein in einem Gesamtmodell aus Netzwerk-Architektur, VPN-Regeln und ggf. Browser-Policy-Standards.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "iCloud Private Relay: WebKit-Features können echte IPs leaken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "iCloud Private Relay: WebKit-Features können echte IPs leaken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »iCloud Private Relay: WebKit-Features können echte IPs leaken« bei Google Deutschland suchen, bei Bing oder Google News!