Apple'ın, Safari ile internette gezinirken kullanıcının IP adresini gizlemek için tasarlanmış isteğe bağlı bir özelliği olan Private Relay (Özel Geçiş), bir dizi güvenlik açığı nedeniyle atlatılarak sözde gizli IP adresinin ortaya çıkarılmasına olanak tanıyor.
iCloud Özel Geçiş özelliğinde açık keşfedildi
Yazılım şirketi Mysk'teki güvenlik araştırmacıları, iCloud Özel Geçiş aktif olsa bile, bir cihazın veya ev ağının IP adresinin iletilebileceğini, bunun da kişinin kimliğini veya konumunu ortaya çıkarmak için kullanılabileceğini keşfetti.
iCloud Özel Geçiş, Apple'ın ücretli iCloud+ hizmetinin bir parçası. Web trafiğini proxy sunucuları üzerinden yönlendirerek IP adresinizi ve ziyaret ettiğiniz web sitesi adresini gizliyor, böylece ne site ne de Apple bu bilgileri göremiyor. Ayrıca, Safari tarayıcısı ve web sitelerine erişmek için WebKit kullanan diğer uygulamalar ve hizmetleri içeren Apple'ın WebKit çerçevesi içinde çalışan bir özellik. Tüm internet trafiğini şifreleyen ve bir proxy sunucusu üzerinden çalıştıran VPN (Sanal Özel Ağ) gibi çalışmıyor.
Gerçek IP adresleri açığa çıktı!
Sorun, kullanıcı adları ve şifrelerden daha güvenli ve kullanıcı dostu olan sitelere giriş yöntemi olan passkeylerle ilgili. WebKit, Özel Geçiş proxy'sini atlayarak istenen bilgileri doğrudan cihazdan gönderiyor. Araştırmacılar, “İstek Safari tarafından değil, işletim sisteminin kimlik doğrulama hizmeti tarafından verildiği için, Özel Geçiş’in proxy yoluna asla girmiyor. Hedef sunucu, cihazın gerçek IP adresini her iki durumda da görüyor.” diyor.
Passkey erişimi isteyen sitelere dikkat!
iCloud Özel Geçiş etkinleştirilmiş olsa bile IP adresinizi ortaya çıkarabilecek iki yol daha var. DNS önbellekleme, web sitelerinin bağlantıyı hızlandırmak için ihtiyaç duyulmadan önce veri istemesinin bir yolu. Bu, geçiş mekanizmasından ayrı olarak gerçekleşiyor, bu nedenle veriler doğrudan ağınızdan web sitesine iletiliyor. Ancak, bir sitenin bunu tetiklemek için HTML'sine kodu eklemesi gerekiyor. Üçüncü güvenlik açığı, WebKit'in özel geçişi atlayarak doğrudan bağlantı kurup kullanıcının gerçek IP adresini gönderdiği WebTransport adı verilen düşük gecikmeli bir yöntemle ilgili.
VPN kullanın
Apple hatayı düzeltene kadar kullanıcılara, passkey erişimi isteyen bilinmeyen web sitelerinden uzak durmaları ve güvenilir sistem düzeyinde VPN kullanmaları tavsiye ediliyor.
