Pas op: deze betaalde Apple-functie is veel minder veilig dan gedacht

In dit artikel:

De Apple-functie Privédoorgifte in iCloud, onderdeel van een betaald iCloud+-abonnement, blijkt het IP-adres van gebruikers niet altijd volledig te verbergen. Onderzoekers Talal Haj Bakry en Tommy Mysk ontdekten meerdere kwetsbaarheden in WebKit, de browsertechniek die Apple verplicht stelt op iPhones, iPads en Macs. Daardoor kan bepaalde communicatie buiten de beveiligde verbinding om rechtstreeks vanaf het apparaat verlopen, waardoor websites mogelijk het echte IP-adres en daarmee de locatie van een gebruiker kunnen achterhalen.

De problemen doen zich onder meer voor bij WebAuthn, dat bijvoorbeeld voor passkeys wordt gebruikt, en bij DNS-prefetching en WebTransport. De kwetsbaarheid beperkt zich daarom niet tot Safari, maar kan ook andere browsers op Apple-apparaten treffen. De onderzoekers hebben een website beschikbaar gesteld waarmee gebruikers kunnen testen of hun IP-adres wordt gelekt. De uitkomst kan per apparaat en situatie verschillen.

Apple zegt de onderzoeksresultaten te bekijken, maar had bij publicatie nog geen officiële oplossing aangekondigd. Tot die tijd adviseren de onderzoekers een VPN te gebruiken. Een andere browser installeren biedt niet automatisch bescherming, omdat vrijwel alle browsers op Apple-apparaten van WebKit afhankelijk zijn. Sommige privacybrowsers hebben wel maatregelen genomen tegen specifieke onderdelen van het probleem.