Wer im Internet seine IP-Adresse vor besuchten Webseiten verstecken möchte, greift häufig zu einem VPN, Proxy oder zu Apples hauseigenem Private Relay. Entwickler haben jetzt drei unterschiedliche Lücken in WebKit entdeckt, die ausgenutzt werden können, um trotzdem an die öffentliche IP-Adresse der Nutzer und den verwendeten DNS-Pfad zu gelangen. Betroffen sind Nutzer, die auf Proxyfunktionen oder iCloud Private Relay setzen. Mit einem systemweiten VPN funktionieren die Lücken nicht. Auf iOS und iPadOS verwenden praktisch alle Browser die WebKit-Engine, daher hilft es nicht, auf einen anderen Browser auszuweichen. Es handelt sich um ein Architekturproblem. Die Verschlüsselung selbst wird nicht kompromittiert.


Drei unterschiedliche Lücken
Ein Proxy und Private Relay können Datenverkehr nur über ihre Server leiten, wenn er ihnen übergeben wird. Genau dort liegt das Problem. Unter bestimmten Umständen funktioniert das nicht – einige Verbindungen des Browsers werden dann so aufgebaut, wie es die Voreinstellungen des Betriebssystems vorsehen. Dies führt das Entwickler-Team von Mysk auf drei Lücken in WebKit zurück, die im "DNS-prefetching", "WebAuthn" und "WebTransport" stecken. DNS-Prefetching fragt DNS-Einträge ab, von denen angenommen wird, dass sie in Kürze benötigt werden. DNS fungiert als eine Art Telefonbuch des Internets und teilt mit, unter welcher IP-Adresse eine Webseite erreichbar ist. WebAuthn ist der technische Standard für Anmeldungen mit Passkeys. Bei der Überprüfung, ob ein Passkey für mehrere Webseiten verwendet werden darf, kann das System eine Datei direkt aus dem Internet abrufen. WebTransport dient als spezielle Browser-API für besonders zeitsensible Übertragungen, wie zum Beispiel Live-Audio. Diese drei Funktionen greifen auf den normalen Netzwerkpfad des Geräts zu und umgehen dadurch den Proxy oder Private Relay. Die Lücke im DNS-prefetching kann den verwendeten DNS-Pfad verraten, die anderen beiden die IP des Nutzers.

Vor allem iOS und iPadOS betroffen
WebKit ist die Browser-Engine von Safari und auf Apples mobilen Betriebssystemen die einzige Engine, die ein Browser verwenden kann. Seit iOS 17.4 und iPadOS 18 sind innerhalb der EU zwar andere Engines möglich, bislang wird die Möglichkeit aber von praktisch keinem Browser-Entwickler genutzt. Systemweite VPNs bleiben, wie bereits erwähnt, verschont, da sie an einer früheren Stelle im System greifen und der gesamte Datenverkehr durch ihren Tunnel geleitet wird, nicht nur der Browser-Verkehr. Die Entwickler von Mysk haben deshalb in Version 1.3.1 ihres Psylo-Browsers DNS-Prefetching blockiert und WebAuthn sowie WebTransport standardmäßig deaktiviert.