iCloud Private Relay Problemi, Kullanıcıların IP Adreslerinin Sızmasına Sebep Oluyor

Apple'ın yeni iCloud Private Relay'inde keşfedilen bir kusur, belirli koşullar dahilinde bir kullanıcının IP adresini açığa çıkararak önemli bir güvenlik problemine sebep oluyor.

Araştırmacı ve geliştirici Sergey Mostsevenko'nun bu hafta blog yazısında yazdığı gibi, Private Relay'in WebRTC'yi işlemesindeki bir kusur, bir kullanıcının gerçek IP adresini "sızdırabilir". FingerprintJS web sitesinde bu durumla alakalı kanıtlar da mevcuttur.

Haziran ayında Geliştiriciler Konferansı'nda duyurulan Private Relay, internet sağlayıcılarını iki farklı varlık tarafından işletilen iki ayrı röle üzerinden yönlendirerek IP adreslerinin, kullanıcı konumunun ve diğer detayların üçüncü şahıslar tarafından takip edilmesini önleyeceklerini söylüyor. Apple, Private Relay üzerinden anlık şekilde yapılandırılan İnternet bağlantılarının, kullanıcının bölgesiyle eşleşen, ancak tam konumlarını veya kimliklerini göstermeyen anonim IP adresleri kullandığını söylüyor.

Teoride, web siteleri yalnızca bir çıkış proxy'sinin IP adresini görebiliyor durumdadır, ancak belirli WebRTC iletişim durumlarında tutulan bir kullanıcının gerçek IP'si bazı akıllı kodlarla askıya alınabilir.

Mostsevenko’nun açıklamasında oluğu gibi WebRTC API, bir ara sunucuya ihtiyaç duymadan web üzerinden doğrudan iletişimi kolaylaştırmak için kullanılıyor. Çoğu tarayıcıda dağıtılan WebRTC, iki kullanıcıyı birbirine bağlamak için etkileşimli bağlantı kurma (ICE) çerçevesine bağlıdır. Tarayıcı, ikinci bir tarayıcıyla bağlantı bulmak ve kurmak için ICE adaylarını bir araya getiriyor.

Güvenlik açığı, NAT sunucuları için oturum geçiş yardımcı programları tarafından, NAT arkasında bulunan cihazlara bağlanmak için kullanılan Sunucu Yansımalı Aday ile ilgilidir. Ağ adresi çevirisi (NAT), birden fazla cihazın tek bir IP adresi üzerinden internete erişmesini sağlayan bir protokoldür. Daha da önemlisi, STUN sunucuları bir kullanıcının genel IP adresini ve port numarasını paylaşır.

"Safari, STUN isteklerini iCloud Private Relay aracılığıyla proxy yapmadığından, STUN sunucuları gerçek IP adresinizi öğrenebilir. Başka bilgilere sahip olmadığı için bu kendi başına bir sorun değildir; ancak Safari, gerçek IP adresleri içeren ICE adaylarını JavaScript ortamından öğrenebiliyor. Sizi anonimlikten çıkarmak, bir web uygulamasıyla kolayca gerçek IP adresinizi ICE adaylarından ayrıştırabilir” dedi Mostsevenko.

Araştırmacıya göre, bir kullanıcının IP adresi, bir STUN sunucusu ile bağlantı sağlayarak, ICE adaylarını bir araya getirir ve değerleri ayrıştırarak elde edilebilir.