Pünktlich zum Start von iOS 15 erweiterte Apple das kostenpflichtige Speicher-Abonnement iCloud+ wie angekündigt um iCloud Private Relay. Der neue Dienst funktioniert prinzipiell wie ein herkömmliches Virtual Private Network (VPN), allerdings setzt das kalifornische Unternehmen auf ein zweistufiges Verfahren. Dieses dient dazu, beim Einsatz des Tunnels die echte IP-Adresse des Nutzers und die aufgerufenen URLs auch vor Apple und den Technikpartnern zu verbergen. Dadurch soll sich unter anderem das Surfverhalten nicht mehr nachvollziehen lassen.


Entwickler umgeht Apples Sicherheitskonzept
Das von Apple nach wie vor als Beta-Version gekennzeichnete iCloud Private Relay funktioniert allerdings in bestimmten Fällen noch nicht wie erwartet. Der VPN-Service des iPhone-Konzerns gibt nämlich unter Umständen die echte IP-Adresse eines iPhones oder iPads preis, welche diesem vom Internet-Zugangsprovider zugewiesen wurde. Das hat der Sicherheitsforscher und Entwickler Sergey Mostsevenko herausgefunden. Es gelang ihm, Apples mehrstufiges Konzept zu umgehen. Es war ihm somit möglich, anhand der Adresse unter anderem Rückschlüsse auf den tatsächlichen Standort des Smartphone-Nutzers zu ziehen, was ein VPN eigentlich verhindern soll.


Schwachstelle in Safaris WebRTC-Implementierung
Mostsevenko machte sich für sein Proof-of-Concept eine Schwachstelle in der WebRTC-Implementierung von Safari zunutze. Bei der unter anderem für Videokonferenzen und Chats im Browser genutzten Technik kommen direkte Verbindungen zwischen zwei Endgeräten wie Computern, Smartphones oder Tablets zum Einsatz. Der Aufbau der unmittelbaren Kommunikation im öffentlichen Netz erfolgt dabei mithilfe verschiedener Protokolle, etwa Interactive Connectivity Establishment (ICE), Network Address Translation (NAT) und Session Traversal Utilities for NAT (STUN). STUN-Server stellen hierbei die öffentliche IP-Adresse und den verwendeten Port zur Verfügung. Safari leitet STUN-Anfragen in iOS 15 jedoch nicht über iCloud Private Relay, sondern gibt im Falle von WebRTC-Verbindungen die echte öffentliche Adresse preis.

Apple ist über die Lücke informiert
Webseitenbetreiber können diese Schwachstelle ausnutzen, um Apples VPN-Service auszuhebeln und so an die reale IP-Adresse zu gelangen. Den hierfür erforderlichen Code hat Sergey Mostsevenko im Blog von FingerprintJS veröffentlicht. Dort findet sich auch eine Live-Demo, welche sowohl die aktuell von iCloud Private Relay bereitgestellte Adresse als auch die echte anzeigt. Der Sicherheitsexperte hat Apple bereits über die Schwachstelle informiert. Das Unternehmen schloss die Lücke bereits in der jüngsten Betaversion von macOS 12 Monterey, das Update für iOS 15 steht allerdings noch aus. Bis die Aktualisierung erscheint, bleibt auf Privatsphäre bedachten iPhone- und iPad-Besitzern nur, entweder auf iCloud Private Relay zu verzichten und einen anderen VPN-Service einsetzen oder JavaScript in Safari zu deaktivieren.