Apple’s betaalde Privédoorgifte in iCloud blijkt minder privé dan gedacht

Als je tijdens het surfen je IP-adres wil verbergen om jezelf meer privacy te geven, kun je daar een VPN voor gebruiken. Maar Apple biedt binnen het betaalde iCloud+ abonnement ook de functie Privédoorgifte in iCloud. Daarmee wordt je IP-adres verborgen, doordat je internetverkeer via twee aparte servers (relays) verstuurd wordt. Beveiligingsonderzoeker Tommy Mysk en Talal Haj Bakry hebben ontdekt dat in sommige gevallen toch nog je IP-adres gedeeld wordt.

Apple’s Privédoorgifte in Safari is minder veilig

Hoewel Privédoorgifte niet je volledige internetverkeer afschermt, ziet een website normaal gesproken dus niet je IP-adres of DNS-instellingen. Zoals Apple het zelf zegt:

‘Privédoorgifte’ verbergt je IP-adres en surf­gedrag in Safari en beschermt je onversleutelde internet­verkeer, zodat niemand, ook Apple niet, kan zien wie je bent en welke sites je bezoekt.

Je kunt bij de instellingen nog aangeven of je algemene locatie van het IP-adres gebruikt wordt of dat (voor meer privacy) alleen je land en tijdzone zichtbaar wordt. Maar de onderzoekers hebben nu dus ontdekt dat bepaalde sites die passkeys gebruiken, alsnog je IP-adres kunnen zien.

Bekijk ook

iCloud Private Relay: meer privacy tijdens het browsen (of zet het uit bij websiteproblemen)

Met Private Relay (of Privédoorgifte) kun je veiliger browsen op je iPhone. Lees in deze tip wat het inhoudt en hoe je het gebruikt.

Passkeys zijn de nieuwere manier van inloggen bij websites, waarbij je geen gebruikersnaam en wachtwoord nodig hebt. Om deze toegangssleutels op te slaan, wordt gebruikgemaakt van de WebAuth-standaard. Hierdoor wordt de sleutel om in te loggen in je account op je apparaat opgeslagen. Maar in dit proces wordt het verzoek naar de website niet beschermd door Privédoorgifte. Op die manier kunnen ook malafide websites die zich voordoen als passkeygeschikte website achter je IP-adres komen.

Dit komt ook deels doordat Privédoorgifte alleen in Safari en WebKit werkt, terwijl het verzoek tot opslaan van je passkeygegevens voor een site via het besturingssysteem loopt. Tegenover 404Media zegt Apple dat ze het probleem aan het onderzoeken zijn. Mogelijk wordt dit in een toekomstige software-update opgelost.

Voor de meer technische achtergrond van dit probleem, check je de blogpost op beveiligingswebsite Mysk.

Het is de tweede betaalde iCloud+ functie in korte tijd die minder veilig is dan gedacht. Vorige maand dook er een probleem op met Verberg mijn e-mailadres, waardoor je daadwerkelijke e-mailadres alsnog te herleiden was. Apple loste dit na een paar weken op, dus er is hoop dat met Privédoorgifte in iCloud hetzelfde gebeurt.

Bekijk ook

Apple verhelpt beveiligingslek in Verberg mijn e-mailadres

Wie iCloud+ gebruikt, kan met Verberg mijn e-mailadres voorkomen dat websites je echte e-mailadres te zien krijgen. Nu blijkt dat die bescherming in sommige gevallen te omzeilen was.