Beveiligingsonderzoekers hebben meerdere kwetsbaarheden ontdekt waardoor de echte IP-adressen van gebruikers van Apple Private Relay kunnen worden achterhaald. Dat is opvallend, want de privacyfunctie is juist ontwikkeld om het IP-adres en de locatie van gebruikers te verbergen.
Private Relay, beschikbaar voor iCloud+-abonnees, maskeert het IP-adres van gebruikers tijdens het surfen in Safari. Onderzoekers ontdekten echter dat bepaalde functies in Apple’s WebKit-browserengine deze bescherming kunnen omzeilen, waardoor websites alsnog het echte IP-adres van een gebruiker kunnen achterhalen.
Om het probleem aan te tonen, hebben de onderzoekers een openbare website gelanceerd waarop gebruikers kunnen controleren of hun echte IP-adres wordt gelekt. Meerdere onafhankelijke partijen hebben de kwetsbaarheid inmiddels bevestigd.
De onderzoekers geven aan dat zij het lek niet via Apple’s beveiligingsprogramma hebben gemeld. Volgens hen duurde het in eerdere gevallen te lang voordat Apple reageerde en was er regelmatig onenigheid over de ernst van gemelde kwetsbaarheden. Apple heeft nog niet publiekelijk op de bevindingen gereageerd.
Mobiele apparaten en apps die locatiegegevens delen of ongevraagd online tracking mogelijk maken, blijven een groeiend privacyprobleem. Eerder meldden we al dat Android-apps mogelijk standaard de locatie van gebruikers delen, zonder dat zelfs de ontwikkelaars daarvan op de hoogte zijn. Die functionaliteit maakt namelijk deel uit van de software waarmee Android-apps worden ontwikkeld en moet handmatig worden uitgeschakeld.
