افشای نشت آدرس IP در iCloud Private Relay اپل؛ سیستم پاس‌کی چگونه حریم خصوصی کاربران را لو می‌دهد؟

اگر برای اشتراک iCloud+ هزینه می‌کنید و برای پنهان کردن آدرس IP خود هنگام وب‌گردی به قابلیت Private Relay متکی هستید، بهتر است حواستان به این گزارش جدید باشد. تحقیقات تازه محققان امنیتی به نام‌های تامی میسک (Tommy Mysk) و طلال حاج بکری (Talal Haj Bakry) که نخستین بار توسط رسانه 404 Media گزارش شد، نشان می‌دهد که قابلیت iCloud Private Relay آدرس IP شما را آن‌طور که اپل (Apple) ادعا می‌کند، مخفی نگه نمی‌دارد.

نحوه وقوع نشت آدرس IP در قابلیت Private Relay اپل

به گزارش آی تی در لحظه  ، قابلیت Private Relay قرار است ترافیک مرورگر سافاری (Safari) شما را از طریق یک رله دو مرحله‌ای (Two-hop relay) هدایت کند تا هیچ‌کس، حتی خود اپل، نتواند هویت شما را به وب‌سایت‌هایی که بازدید می‌کنید متصل سازد. اما مشکل اصلی در نحوه عملکرد فناوری پاس‌کی (Passkeys) نهفته است. زمانی که یک وب‌سایت از دستگاه شما می‌خواهد یک پاس‌کی را تایید کند، سرویس اعتبارسنجی آیفون (iPhone) فایل تاییدیه را به طور مستقیم و بدون عبور از سافاری و Private Relay دریافت می‌کند. از آنجا که این درخواست هرگز وارد ترافیک حفاظت‌شده مرورگر شما نمی‌شود، وب‌سایت دریافت‌کننده به جای آدرس IP رله، آدرس IP واقعی شما را مشاهده می‌کند.

تامی میسک وسعت این آسیب‌پذیری امنیتی را به سادگی در گفتگو با 404 Media توضیح داد و گفت: «هر وب‌سایتی که از پاس‌کی (Passkeys) پشتیبانی کند — یا حتی ادعای پشتیبانی از آن را داشته باشد — می‌تواند به این اطلاعات دسترسی پیدا کند، حتی اگر Private Relay روشن باشد.» این محققان همچنین در پست پژوهشی خود در وبلاگ Mysk خاطرنشان کردند که از آنجا که درخواست‌ها در هر صورت از «آدرس IP واقعی دستگاه» ارسال می‌شوند، در حال حاضر هیچ راهی برای دور زدن این مشکل هنگام استفاده از مرورگر سافاری با قابلیت فعال Private Relay وجود ندارد.

آیا کاربران اپل باید نگران حریم خصوصی خود باشند؟

این اولین باگ امنیتی و لغزش حریم خصوصی برای ویژگی‌های پولی iCloud+ اپل نیست. درست در ماه گذشته گزارش شد که ابزار Hide My Email اپل به طور بی‌صدا آدرس‌های ایمیل واقعی کاربران را فاش می‌کرده است؛ باگی که گفته می‌شود این شرکت بیش از یک سال از آن مطلع بوده و سپس اقدام به برطرف کردن آن کرده است.

نکته امیدوارکننده در این میان این است که شبکه‌های اختصاصی مجازی (VPN) معمولی تحت تاثیر این آسیب‌پذیری قرار ندارند، زیرا آن‌ها ترافیک کل دستگاه شما را در سطح سیستم رمزنگاری می‌کنند، نه فقط ترافیک مرورگر را. اگر از Private Relay برای انجام کارهای حساس استفاده می‌کنید، شاید بهتر باشد تا زمانی که اپل این مشکل را برطرف کند، به یک VPN کامل سوییچ کنید. اپل به رسانه 404 Media اعلام کرده که در حال بررسی یافته‌های این محققان است، بنابراین امید می‌رود که انتشار یک آپدیت اصلاحی خیلی دور نباشد.