Apple pozwane za lukę w iCloud Private Relay
Apple będzie musiało tłumaczyć się w sądzie z kolejnej obietnicy, której według niejednego użytkownika firma nie dotrzymała. Tym razem chodzi o Private Relay będącą składniem pakietu iCloud+.
Jednym z benefitów płatnego pakietu iCloud+ jest dostęp do Private Relay, usługi Apple, która ma zapewniać prywatność podczas przeglądania internetu poprzez przeglądarkę Safari. W ramach tej specjalnej funkcji, rzeczywisty adres IP użytkownika jest maskowany, a serwery witryn widzą połączenie pochodzące z sieci Private Relay. Apple przekonywało, że system skutecznie chroni prywatność użytkownika, ponieważ skrypty śledzące aktywność na stronach nie mogą go śledzić ani jednoznacznie identyfikować. W ostatnim czasie okazało się jednak, że Private Relay ma pewne luki, których wykorzystanie ujawnia serwerom prawdziwy adres IP schowany za iCloud Private Relay.
Private Relay ma luki, które mogą kosztować Apple setki milionów dolarów
Funkcja Private Relay działa w ten sposób, że przekierowuje ruch w przeglądarce Safari w systemach iOS, iPadOS czy macOS na specjalny serwer proxy, który następnie łączy się z odwiedzaną przez użytkownika stroną. Całość zaprojektowano w ten sposób, by nikt nie mógł podejrzeć adresów witryn, ani także przypisać danego ruchu do konkretnego użytkownika. Do tych informacji nie ma dostępu nawet samo Apple. Mimo to, specjaliści cybersecurity Talal Haj Bakry i Tommy Mysk, autorzy bloga MYSK BLOG odkryli, że zasłonę w postaci Private Relay da się obejść i specjalnie skonfigurowana strona internetowa jest w stanie podejrzeć rzeczywisty adres IP użytkownika.
Wspomnieni blogerzy znaleźli aż trzy sposoby na to, by poznać prawdziwe IP użytkownika usługi Apple. Jak się okazało, dane, które miały pozostać ukryte da się poznać podczas logowania za pomocą passkeys, albo gdy odwiedzana witryna używa DNS prefetching lub WebTransport. Dwie ostatnie funkcje umożliwiają szybsze otwieranie stron i mogą po prostu pomijać połączenie proxy, na którym opiera się Private Relay. Przy okazji warto zaznaczyć, że nie dochodzi tu do przełamania jakichkolwiek zabezpieczeń, czy dokonania ataku, a po prostu użycia wbudowanych, legalnych i dostępnych funkcji przeglądarki Safari w sprytny sposób. Jednocześnie użytkownik korzystający z Private Relay nie będzie wiedział, że na konkretnej witrynie, którą odwiedza, jego aktywność nie jest już w pełni anonimowa.
Talal Haj Bakry i Tommy Mysk uruchomili także specjalną stronę, na której można z włączonym Private Relay zobaczyć swój rzeczywisty adres IP. Kilka dni temu Edward Rickman, złożył przeciw Apple pozew sądowy, w którym twierdzi, że wykupił dostęp do iCloud+ właśnie dlatego, że był przekonany iż Private Relay pozwoli mu ukryć jego adres IP oraz aktywność w przeglądarce Safari, co jak się okazuje nie zawsze jest zgodne z rzeczywistością. W treści pozwu pojawia wniosek o nadanie sprawie charakteru pozwu zbiorowego oraz wydania nakazu zobowiązującego Apple do modyfikacji swoich praktyk w taki sposób, by ograniczyć ryzyko wprowadzenia konsumentów w błąd. Rzecz jasna powód domaga się od firmy odszkodowania i pokrycia kosztów procesu, które z pewnością nie będą małe. Partner kancelarii reprezentującej Edwarda Rickmana powiedział:
Firma Apple zbudowała całą swoją markę na obietnicy, że będzie chronić prywatność swoich użytkowników, gdy żadna inna firma tego nie robiła. To, że użytkownicy usługi iCloud firmy Apple dowiadują się teraz, iż przez lata płacili Apple dodatkową opłatę za ochronę, która po prostu nie działała, narażając ich na to samo śledzenie, profilowanie i kierowanie reklam, przed którymi Apple ich ostrzegało, stanowi skandaliczne naruszenie i zdradę zaufania konsumentów oraz prawa.
Co ciekawe, ta sama firma prawnicza wywalczyła z Apple ugodę o wartości 250 milionów USD w sprawie obiecanych, a ostatecznie niedowiezionych funkcji AI w iPhonie 16 Pro. Warto także dodać, że MYSK, który upublicznił informację o lukach w Private Relay oferuje w App Store skupioną na prywatności przeglądarkę Psylo. Chroni ona użytkownika przed śledzeniem w taki sposób, że otwarte karty są od siebie izolowane posiadając swoją pamięć podręczną, pliki cookie oraz własny adres IP nadawany przez sieć serwerów proxy. Tym samym Psylo było do tej pory podatne na problem, który opisali Talal Haj Bakry i Tommy Mysk. Ich publikacja stanowiła de facto uzupełnienie wydanej właśnie aktualizacji, która łata znalezione luki.
