Apple's betaalde Privédoorgifte in iCloud blijkt minder privé dan gedacht

In dit artikel:

Beveiligingsonderzoekers Tommy Mysk en Talal Haj Bakry hebben ontdekt dat Apple’s Privédoorgifte in iCloud+ in bepaalde situaties toch het IP-adres van gebruikers kan prijsgeven. De functie moet Safari-verkeer via twee afzonderlijke servers sturen, zodat websites het IP-adres en DNS-instellingen niet kunnen zien. Dat gaat mis bij websites die passkeys gebruiken, de moderne inlogmethode waarbij toegangssleutels via WebAuthn op het apparaat worden opgeslagen. Het bijbehorende verzoek loopt via het besturingssysteem en wordt niet door Privédoorgifte beschermd. Daardoor kunnen ook kwaadwillende websites die zich voordoen als passkeydiensten het IP-adres achterhalen. Apple onderzoekt de kwestie en kan die mogelijk met een software-update oplossen. Het incident volgt kort na een ander probleem met de betaalde functie Verberg mijn e-mailadres, dat inmiddels is verholpen.