Người dùng Apple sử dụng iCloud Private Relay để che giấu vị trí trực tuyến có thể không nhận được sự bảo vệ như mong đợi.
Lỗ hổng WebKit làm lộ địa chỉ IP thực
Các lỗ hổng mới được công bố trong WebKit, công cụ trình duyệt được sử dụng trên toàn bộ hệ điều hành iOS, có thể cho phép một trang web xem địa chỉ IP thực của người truy cập. Việc này làm suy yếu một biện pháp bảo vệ quyền riêng tư quan trọng.
Vấn đề này có thể được kích hoạt khi một trang web hỗ trợ, hoặc chỉ đơn giản là tuyên bố hỗ trợ, passkeys. Thiết bị có thể thực hiện một yêu cầu mạng riêng biệt trong quá trình đăng nhập, nằm ngoài luồng trình duyệt được bảo vệ. Điều này tạo ra một kẽ hở để trang web độc hại thu thập địa chỉ IP.
Các nhà nghiên cứu Tommy Mysk và Talal Haj Bakry đã xác định được vấn đề này, và các nhà phân tích tại 404media đã xác minh rằng trang thử nghiệm đã trả về địa chỉ IP thực của người dùng được cho là đã được bảo vệ.
404media đã báo cáo rằng những phát hiện này ảnh hưởng đến đường dẫn quyền riêng tư. Apple cho biết họ đang điều tra báo cáo này. Bài viết liên quan đến các tin tức bảo mật mới nhất.
Việc lộ địa chỉ IP có thể tiết lộ nhà cung cấp mạng và vị trí gần đúng của người dùng, đồng thời có thể được kết hợp với dữ liệu khác để phân tích hồ sơ người dùng. Đây không phải là bằng chứng cho thấy thiết bị đã bị xâm nhập hoặc tài khoản bị chiếm quyền kiểm soát.
Những người theo dõi các mối quan tâm bảo mật gần đây về WebKit nên lưu ý rằng trường hợp này là một sự rò rỉ thông tin, không phải là lỗ hổng zero-day đang bị khai thác tích cực.
Private Relay và cơ chế hoạt động
Private Relay được thiết kế để che giấu địa chỉ IP của thuê bao iCloud+ khi duyệt web bằng Safari. Khác với mạng riêng ảo (VPN) toàn bộ thiết bị, nó không định tuyến lưu lượng truy cập của mọi ứng dụng qua cùng một kết nối được bảo vệ.
Thiết kế giới hạn này trở nên quan trọng khi một yêu cầu được thực hiện bởi một phần khác của hệ điều hành.
Theo các nhà nghiên cứu, hoạt động passkey sử dụng tiêu chuẩn WebAuthn có thể gọi dịch vụ xác thực của hệ điều hành thay vì Safari.
Vì yêu cầu đó không đi vào luồng proxy của Private Relay, máy chủ đích sẽ nhận được địa chỉ IP thực của thiết bị. Người dùng có thể chỉ thấy một lời nhắc passkey thông thường.
Tác động và ảnh hưởng đến các ứng dụng khác
Một kẻ tấn công độc hại có thể xây dựng một trang web xung quanh việc kiểm tra passkey và ghi lại địa chỉ của người truy cập. Kỹ thuật này không yêu cầu nạn nhân phải cài đặt phần mềm, mở tài liệu hoặc cung cấp mật khẩu.
Nó chỉ phụ thuộc vào việc truy cập một trang web và tương tác với một tính năng passkey, điều này làm cho các biện pháp bảo vệ quyền riêng tư dựa trên trình duyệt trở nên đặc biệt quan trọng.
Các nhà nghiên cứu cũng phát hiện ra rằng hành vi nền tảng của WebKit ảnh hưởng đến OnionBrowser, một ứng dụng iOS sử dụng mạng ẩn danh Tor. Vì các trình duyệt trên iOS phải sử dụng WebKit, một ứng dụng có thể kế thừa các hạn chế vượt ra ngoài thiết kế quyền riêng tư của chính nó.
Người tạo OnionBrowser, Mike Tigas, đã mô tả hai trường hợp rò rỉ nằm trong tầm kiểm soát của Apple, đồng thời cho biết trường hợp thứ ba không ảnh hưởng đến ứng dụng theo cấu hình mặc định của nó. Tuy nhiên, trình duyệt Tor chính thức từ Tor Project không bị ảnh hưởng bởi sự cố được báo cáo này và vẫn là cách được khuyến nghị để sử dụng mạng Tor.
Những người dùng cần sự ẩn danh mạnh mẽ hơn nên tránh coi Private Relay là sự thay thế cho một công cụ bảo mật toàn diện cho hệ thống. Các báo cáo liên quan về rủi ro truy cập dữ liệu iCloud cho thấy lý do tại sao các biện pháp kiểm soát quyền riêng tư nên được đánh giá dựa trên giới hạn của chúng, không phải nhãn mác.
Khuyến nghị và biện pháp phòng ngừa
Các tổ chức không nên giả định rằng Private Relay ngăn chặn mọi việc ghi nhật ký dựa trên IP từ các phiên Safari. Chủ sở hữu trang web nên tránh coi địa chỉ được phát hiện là một tín hiệu nhận dạng đáng tin cậy, trong khi các nhóm bảo mật có thể xem xét các luồng passkey và các tuyên bố về quyền riêng tư.
Báo cáo không mô tả bất kỳ tệp độc hại, tên miền, hash hoặc các chỉ số xâm phạm (IOC) nào khác, do đó không có bảng IOC nào được đưa vào. Cho đến khi có bản sửa lỗi, người dùng có thể cẩn thận với các trang web không quen thuộc yêu cầu hoặc bắt chước hỗ trợ passkey, đặc biệt khi quyền riêng tư là điều cần thiết.
Họ nên cài đặt các bản cập nhật của Apple một cách kịp thời và sử dụng trình duyệt Tor chính thức trên các nền tảng được hỗ trợ khi cần sự ẩn danh ở cấp độ Tor. Việc cập nhật các bản sửa lỗi bảo mật của Apple có thể giúp người dùng đánh giá khi nào các biện pháp bảo vệ mới có sẵn.
Các mối đe dọa mạng luôn tiềm ẩn, và việc hiểu rõ cách các tính năng bảo mật hoạt động cũng như giới hạn của chúng là rất quan trọng để duy trì an toàn thông tin.
Để ngăn chặn các cuộc tấn công lừa đảo và phần mềm độc hại mới trước khi chúng xâm phạm doanh nghiệp của bạn, hãy tích hợp thông tin tình báo thời gian thực từ 15.000 trung tâm vận hành an ninh (SOC) trên toàn thế giới.
