Apple iCloud+: Κενό ασφαλείας επιτρέπει την καταγραφή της πραγματικής IP διεύθυνσης σας
Σύνοψη
- Ερευνητές ασφαλείας ανακάλυψαν μια δομική αδυναμία στο iCloud Private Relay της Apple, η οποία επιτρέπει τη διαρροή της πραγματικής IP διεύθυνσης των χρηστών κατά την πλοήγηση στο διαδίκτυο.
- Η διαρροή προκαλείται κατά τη διαδικασία επαλήθευσης των passkeys, καθώς η υπηρεσία διαπιστευτηρίων του λειτουργικού συστήματος παρακάμπτει το προστατευμένο δίκτυο του Safari.
- Οποιοσδήποτε ιστότοπος υποστηρίζει τη χρήση passkeys μπορεί να υποκλέψει την πραγματική IP του χρήστη, ανεξάρτητα από το αν το Private Relay είναι ενεργοποιημένο.
- Τα παραδοσιακά δίκτυα VPN δεν επηρεάζονται από το συγκεκριμένο ζήτημα, διότι εφαρμόζουν κρυπτογράφηση και δρομολόγηση της κίνησης σε καθολικό επίπεδο συστήματος.
- Η Apple έχει ενημερωθεί για τα ευρήματα της έρευνας, ωστόσο προς το παρόν δεν υπάρχει διαθέσιμη επιδιόρθωση λογισμικού που να αποτρέπει τη συγκεκριμένη συμπεριφορά.
Η αρχιτεκτονική απορρήτου της Apple δέχεται ένα σημαντικό πλήγμα, καθώς νεότερα δεδομένα αναδεικνύουν μια θεμελιώδη αδυναμία στον τρόπο με τον οποίο το οικοσύστημα του iOS διαχειρίζεται τη δρομολόγηση των δεδομένων κατά την πλοήγηση στο διαδίκτυο.
Η συνδρομητική υπηρεσία iCloud+, η οποία ενσωματώνει τη λειτουργία Private Relay με ρητό σκοπό την απόκρυψη της πραγματικής IP διεύθυνσης των χρηστών από τους παρόχους υπηρεσιών διαδικτύου και τους ιστότοπους, αποδεικνύεται ανεπαρκής υπό συγκεκριμένες, αλλά ευρέως διαδεδομένες συνθήκες.
Σύμφωνα με έρευνα που δημοσιεύτηκε από τους αναλυτές ασφαλείας Tommy Mysk και Talal Haj Bakry, το iCloud Private Relay αποτυγχάνει να διασφαλίσει την ανωνυμία των χρηστών όταν στο προσκήνιο υπεισέρχεται η τεχνολογία των passkeys.
Το iCloud Private Relay σχεδιάστηκε για να προσφέρει μια προστατευμένη σήραγγα επικοινωνίας δύο σταδίων. Στην ιδανική του λειτουργία, όταν ένας χρήστης χρησιμοποιεί τον Safari browser, το αίτημα κρυπτογραφείται και αποστέλλεται σε έναν server της Apple, ο οποίος διαχωρίζει τη διεύθυνση IP από το αίτημα DNS, και στη συνέχεια προωθείται σε έναν server τρίτου παρόχου (συνήθως εταιρείες όπως η Cloudflare ή η Fastly), ο οποίος αναθέτει μια προσωρινή IP πριν το αίτημα καταλήξει στον τελικό ιστότοπο. Αυτός ο διαχωρισμός διασφαλίζει ότι καμία μεμονωμένη οντότητα, συμπεριλαμβανομένης της ίδιας της Apple, δεν κατέχει ταυτόχρονα την ταυτότητα του χρήστη και τον τελικό προορισμό της περιήγησής του.
Το ρήγμα σε αυτή τη θεωρητικά άτρωτη διαδικασία εντοπίζεται στη διαχείριση των διαπιστευτηρίων συστήματος και ειδικότερα στην επικύρωση των passkeys. Τα passkeys αποτελούν το σύγχρονο, κρυπτογραφικό πρότυπο που φιλοδοξεί να αντικαταστήσει τους παραδοσιακούς κωδικούς πρόσβασης, βασιζόμενο στο πρωτόκολλο WebAuthn. Όταν ένας χρήστης επισκέπτεται έναν ιστότοπο ο οποίος ζητά την ταυτοποίηση μέσω passkey, ο Safari δεν διαχειρίζεται το αίτημα εσωτερικά. Αντιθέτως, μεταβιβάζει τη διαδικασία επικύρωσης στην υπηρεσία διαπιστευτηρίων (credential service) του ίδιου του λειτουργικού συστήματος. Η συγκεκριμένη υπηρεσία αναλαμβάνει να αντλήσει το αρχείο επικύρωσης απευθείας από τον server του ιστότοπου, αγνοώντας πλήρως τη δρομολόγηση του Safari και, κατ' επέκταση, παρακάμπτοντας τους περιορισμούς του Private Relay.
Το αποτέλεσμα αυτής της παράκαμψης είναι η επικοινωνία μεταξύ της συσκευής και του ιστότοπου για την επαλήθευση του passkey να πραγματοποιείται χρησιμοποιώντας την πραγματική, εκτεθειμένη διεύθυνση IP του χρήστη. Οι ερευνητές Mysk και Bakry επισημαίνουν με σαφήνεια ότι το συγκεκριμένο κενό ασφαλείας μπορεί να γίνει αντικείμενο εκμετάλλευσης από οποιονδήποτε ιστότοπο υποστηρίζει, ή απλώς προσποιείται ότι υποστηρίζει, υποδομή για passkeys. Ο κώδικας του ιστότοπου απαιτεί την έναρξη της διαδικασίας ταυτοποίησης και η συσκευή της Apple ανταποκρίνεται αποστέλλοντας το αίτημα από το πραγματικό της δίκτυο, παραδίδοντας ουσιαστικά το ψηφιακό αποτύπωμα του χρήστη στον server υποδοχής.
Το ζήτημα της διαρροής δεδομένων αποκτά μεγαλύτερες διαστάσεις εάν αναλογιστεί κανείς τη στρατηγική προώθησης της Apple για το οικοσύστημα iCloud+. Η εταιρεία επενδύει τεράστια ποσά στην εμπορική προώθηση των χαρακτηριστικών ασφαλείας, δημιουργώντας ένα αίσθημα απόλυτης προστασίας στους καταναλωτές που επιλέγουν να πληρώσουν για τη συνδρομητική υπηρεσία. Το παρόν περιστατικό προστίθεται σε μια σειρά από τεχνικές αστοχίες που αφορούν εργαλεία προστασίας της ιδιωτικότητας, ακολουθώντας την πρόσφατη αποκάλυψη που ήθελε τη λειτουργία Hide My Email να εκθέτει αθόρυβα τις πραγματικές διευθύνσεις email ορισμένων χρηστών, ένα σφάλμα το οποίο η Apple φέρεται να γνώριζε για περισσότερο από έναν χρόνο προτού προχωρήσει στην επίλυσή του.
Διαβάστε επίσης
Η θεμελιώδης διαφορά μεταξύ του iCloud Private Relay και των συμβατικών δικτύων Virtual Private Network (VPN) αναδεικνύεται πλέον ξεκάθαρα μέσα από αυτή την αδυναμία. Ένα παραδοσιακό VPN εγκαθιστά ένα προφίλ δικτύου στο λειτουργικό σύστημα το οποίο κρυπτογραφεί και αναδρομολογεί το σύνολο της διαδικτυακής κίνησης της συσκευής (system-level routing), ανεξάρτητα από το εάν η κίνηση αυτή προέρχεται από τον browser, τις εφαρμογές παρασκηνίου ή τις υπηρεσίες συστήματος όπως ο διαχειριστής διαπιστευτηρίων. Αντίθετα, το Private Relay λειτουργεί αυστηρά εντός του περιβάλλοντος του Safari και ορισμένων συνδέσεων του DNS, αφήνοντας τις διεργασίες συστήματος εκτεθειμένες σε απευθείας επικοινωνία με εξωτερικούς servers. Συνεπώς, οι χρήστες που βασίζονται στο Private Relay για την αποφυγή γεωγραφικού εντοπισμού ή για προστασία σε επισφαλή δημόσια δίκτυα, παραμένουν ουσιαστικά εκτεθειμένοι κάθε φορά που το λειτουργικό σύστημα αναλαμβάνει μια διεργασία ταυτοποίησης.
Μέχρι στιγμής, η μόνη προσωρινή λύση για την αποτροπή αυτής της διαρροής, για όσους απαιτούν αυστηρή ανωνυμία, είναι η απενεργοποίηση της χρήσης passkeys ή η πλήρης μετάβαση σε ένα αξιόπιστο VPN που θα καλύπτει ολόκληρη τη συσκευή. Η Apple έχει επιβεβαιώσει ότι εξετάζει τα ευρήματα των ερευνητών, γεγονός που υποδηλώνει ότι η εταιρεία πιθανότατα θα προσπαθήσει να επιλύσει το ζήτημα μέσω μιας μελλοντικής ενημέρωσης λογισμικού, ανακατευθύνοντας ίσως την κυκλοφορία του credential manager μέσω των κόμβων του Private Relay.
Η ταχύτητα υιοθέτησης των passkeys από την παγκόσμια βιομηχανία τεχνολογίας σημαίνει ότι ο αριθμός των ιστότοπων που βασίζονται σε αυτή την τεχνολογία αυξάνεται εκθετικά. Εάν το πρόβλημα δεν επιλυθεί άμεσα σε επίπεδο kernel του λειτουργικού συστήματος (iOS και macOS), η υπόσχεση του iCloud Private Relay για ιδιωτικότητα θα συνεχίσει να ακυρώνεται σε καθημερινή βάση, κάθε φορά που ένας χρήστης προσπαθεί απλώς να συνδεθεί σε μια πλατφόρμα εφαρμόζοντας τις πιο σύγχρονες μεθόδους ταυτοποίησης που του προσφέρει η ίδια η αγορά.
