Der Private Relay-Dienst (Private Relay), in kostenpflichtigen iCloud+-Abonnements enthaltenwurde von Apple entwickelt, um die IP-Adressen der Benutzer beim Surfen mit Safari zu verbergen.
Entdeckungen der Sicherheitsforscher Tommy Mysk und Talal Haj Bakry zeigen, dass dieser Schutz nicht narrensicher ist. Sie identifizierten eine Reihe von Schwachstellen, die es einer Website ermöglichen, die tatsächliche IP-Adresse eines Besuchers zu ermitteln.
Passschlüssel gefährden Private Relay
Das Hauptproblem liegt in der Verwaltung von Passkeys (Zugriffsschlüssel), eine sichere Alternative zu Passwörtern, die den WebAuthn-Standard verwendet. Wenn sich ein Benutzer über einen Passkey anmeldet, wird die Authentifizierungsanfrage vom Identifikationsdienst des Betriebssystems und nicht direkt von Safari ausgegeben.
Diese Anfrage „ umgeht den Private-Relay-Proxy-Pfad „. Der Zielserver erhält dann die tatsächliche IP-Adresse des Geräts. Ein Angreifer kann diesen Fehler ausnutzen, indem er eine Site erstellt, die behauptet, WebAuthn zu verwenden, ohne dass dem Benutzer auch nur eine sichtbare Anmeldeaufforderung angezeigt wird.
Welche anderen Browser sind betroffen?
Da der Fehler in WebKit verwurzelt istder Rendering-Engine, die Apple allen Browsern unter iOS auferlegt, geht das Problem über Safari hinaus. Anonymitätsorientierte Browser wie OnionBrowser, der das Tor-Netzwerk nutzt, sind ebenfalls anfällig.
Mike Tigas, der Erfinder von OnionBrowser, bezeichnete das Problem als katastrophal und betonte, dass die Lösung vollständig in den Händen von Apple liege.
Andere WebKit-Funktionen wie DNS-Prefetching und WebTransport können ebenfalls genutzt werden, um Informationen offenzulegen.
Sicherheitsbulletin: Die Verarbeitung von Passkeys durch WebKit kann dazu führen, dass iCloud Private Relay die tatsächliche IP-Adresse Ihres Geräts preisgibt. Das gleiche Verhalten betrifft alle iOS-Browser, die auf Proxy-Verbindungen angewiesen sind, um die IP des Geräts zu verbergen, einschließlich Psylo, Onion Browser und andere Proxy- oder Tor-Browser. pic.twitter.com/BvCW3aYzHV
– Psylo: Datenschutzbrowser und Proxy (@psylo_app) 4. August 2026
Keine Upstream-Berichterstattung für Apple
Apple teilte 404 Media mit, dass es den Bericht der Forscher untersuche. Letzterer entschied sich insbesondere dafür, das Problem nicht direkt den Upstream-Mitarbeitern von Apple zu melden, und verwies auf deren „ Erfahrungen aus der Vergangenheit mit Apple zeigen uns, dass die Meldung dieses Problems mit monatelangen Verzögerungen verbunden wäre „.
Diese Situation erinnert an einen weiteren Fehler in „Hide My Email“ von iCloud+, der die tatsächlichen Adressen der Benutzer preisgab. Apple brauchte mehr als ein Jahr, um diesen Fehler zu beheben, nachdem er entdeckt wurde.
Eine Website wurde online geschaltet, um zu überprüfen, ob bei der Verwendung von Private Relay eine echte IP-Adresse kompromittiert wurde.
