Σε iOS και macOS, το Tor, τα συστήματα proxy και το Safari φαίνεται πως έχουν την ίδια αδυναμία τις τρεις εσωτερικές λειτουργίες του WebKit που μπορούν να αποκαλύψουν την πραγματική διεύθυνση IP ή τα ερωτήματα DNS ενός χρήστη, ακόμη και όταν πιστεύουν ότι περιηγούνται πίσω από ένα proxy ή το ιδιωτικό relay του iCloud. Αυτή η ευπάθεια επηρεάζει όλα τα προγράμματα περιήγησης στα iPhone, καθώς η Apple επιβάλλει τη χρήση της μηχανής απόδοσης WebKit, σε αντίθεση με εναλλακτικές λύσεις όπως το Blink ή το Gecko που χρησιμοποιούνται σε άλλες πλατφόρμες.
Τρεις μηχανισμοί άνεσης που προδίδουν την εμπιστευτικότητα
Ο προγραμματιστής πίσω από αυτήν την ανακάλυψη, που σχετίζεται με την εφαρμογή Psylo, εντόπισε το πρόβλημα αφού ένας χρήστης ανέφερε μια ύποπτη διαρροή DNS. Η επακόλουθη έρευνα αποκάλυψε όχι ένα, αλλά τρία ξεχωριστά τρωτά σημεία, καθένα από τα οποία είναι ικανό να παρακάμψει την προστασία που υποτίθεται ότι παρέχεται από ένα proxy ή ένα ιδιωτικό relay iCloud.
Το ιστολόγιο Mysk περιγράφει λεπτομερώς πώς καθεμία από αυτές τις τρεις λειτουργίες που σχετίζονται με το WebKit, οι οποίες έχουν σχεδιαστεί για να βελτιώνουν την ταχύτητα ή την ευκολία πλοήγησης, τελικά θέτει σε κίνδυνο την ασφάλεια των χρηστών:
- Η προφόρτωση DNS, μια λειτουργία που έχει αποτελέσει αντικείμενο διαρροών δεδομένων από το iOS 26, επιλύει τα ονόματα κεντρικών υπολογιστών μέσω του κλασικού κυκλώματος DNS και όχι μέσω του διαμορφωμένου διακομιστή μεσολάβησης, αποκαλύπτοντας έτσι τους ιστότοπους που έχετε επισκεφτεί.
- Το WebAuthn, που χρησιμοποιείται για την επικύρωση κλειδιού πρόσβασης από το iOS 18, ανακτά ένα αρχείο επαλήθευσης απευθείας από τη συσκευή, το οποίο εκθέτει την πραγματική διεύθυνση IP του χρήστη.
- Το WebTransport, ενεργό από την έκδοση iOS 26.4, ανοίγει μια άμεση σύνδεση HTTP/3 η οποία επίσης παρακάμπτει τον proxy και αποκαλύπτει την πραγματική διεύθυνση IP.
Η Apple πρέπει να διορθώσει αυτά τα τρωτά σημεία του WebKit
Η μόνη αξιοσημείωτη εξαίρεση σε αυτές τις τρεις διαρροές είναι το επίπεδο ασφαλείας "Silver" του Onion Browser, το οποίο ρυθμίζει το WebKit να λειτουργεί σε λειτουργία απομόνωσης, αποφεύγοντας έτσι ειδικά τη διαρροή WebTransport. Τα VPN, σε αντίθεση με τα συστήματα proxy και το Tor, παραμένουν εντελώς ανεπηρέαστα από αυτό το πρόβλημα, καθώς κρυπτογραφούν όλη την κίνηση σε επίπεδο συστήματος και όχι σε επίπεδο προγράμματος περιήγησης.
Η εφαρμογή Psylo διόρθωσε τα τρία τρωτά σημεία στην τελευταία της ενημέρωση, με κόστος την απενεργοποίηση κατά τα άλλα χρήσιμων λειτουργιών, οι οποίες πλέον μπορούν να διαχειρίζονται ανά ιστότοπο εντός της εφαρμογής. Η Apple, ωστόσο, δεν έχει ακόμη κυκλοφορήσει κάποια ενημέρωση κώδικα για αυτά τα τρία ελαττώματα στο ίδιο το WebKit, αν και η δημοσίευση αυτής της ανακάλυψης θα μπορούσε να επιταχύνει την αντίδραση της εταιρείας. Εν τω μεταξύ, οι χρήστες με proxy ή που χρησιμοποιούν Tor σε iOS και macOS θα πρέπει να έχουν κατά νου ότι ένα VPN παραμένει η μόνη λύση που εγγυάται ότι κανένα δεδομένο δεν θα φύγει από τη συσκευή χωρίς πλήρη κρυπτογράφηση.
