Проблема в функции iCloud Private Relay может раскрыть реальные IP-адреса пользователей
25 сентября 2021 года
Уязвимость в функции Apple iCloud Private Relay может быть использована для утечки реальных IP-адресов пользователей устройств под управлением последней версии операционной системы iOS.
iCloud Private Relay была представлена в бета-версии с iOS 15 и является дополнительным уровнем безопасности, защищающим конфиденциальность пользователей при просмотре web-страниц за счет использования архитектуры двойного перехода. Безопасность обеспечивается путем маршрутизации интернет-трафика пользователей в браузере Safari через два прокси-сервера.
Функция доступна только подписчикам iCloud+ на устройствах под управлением iOS 15 или macOS 12 Monterey и младше.
«Если прочитать IP-адрес из HTTP-запроса, полученного сервером, то в результате будет IP-адрес исходящего прокси. Тем не менее, вы можете получить IP настоящего клиента через WebRTC», — сообщил исследователь в области кибербезопасности Сергей Мостсевенко из FingerprintJS.
WebRTC (Web Real-Time Communication) — стандарт мультимедийной связи в реальном времени с открытым исходным кодом, работающий непосредственно в web-браузере. Проект предназначен для организации передачи потоковых данных между браузерами или другими поддерживающими его приложениями по технологии точка-точка.
Обмен мультимедиа устанавливается посредством процесса обнаружения и согласования, называемого сигнализацией, который включает использование инфраструктуры под названием Interactive Connectivity Establishment (ICE). Уязвимость, обнаруженная FingerprintJS, связана с Server Reflexive Candidate, который генерируется сервером STUN, когда данные с конечной точки необходимо передавать через Network Address Translator (NAT). Session Traversal Utilities for NAT (STUN) — инструмент, используемый для получения общедоступного IP-адреса и номера порта сетевого компьютера, расположенного за NAT.
Уязвимость связана с тем, что такие STUN-запросы не передаются через прокси-сервер iCloud Private Relay, приводя к раскрытию реального IP-адреса клиента.
Эксперт предупредил Apple о проблеме. Компания уже выпустила исправление для уязвимости в последней бета-версии macOS Monterey, однако при использовании iCloud Private Relay на iOS 15 утечка не была устранена.
Источники[править]
Эта статья содержит материалы из статьи «Проблема в функции iCloud Private Relay может раскрыть реальные IP-адреса пользователей», опубликованной на сайте SecurityLab.ru и распространяющейся на условиях лицензии Creative Commons Attribution 3.0 Unported (CC-BY 3.0 Unported). |
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии[править]
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.