- Wereld
- Buitenland
- Binnenland
- Sport nieuws
    - Voetbal nieuws
    - Formule 1 nieuws
    - Wielrennen
    - Ajax nieuws
    - Feyenoord nieuws
    - PSV nieuws
- Economie
- Wetenschap
- Showbiz/Media
- Computer nieuws
- Gaming nieuws
    - PS4 nieuws
    - Xbox One nieuws
- Hardware nieuws

Beveiligingsonderzoekers ontdekken stille lekken in Apples betaalde Safari-privacytool, wat leidt tot een onderzoek door het bedrijf.

Beveiligingsonderzoekers hebben significante tekortkomingen ontdekt in Apple's dienst iCloud Private Relay. De functie, beschikbaar met betaalde iCloud+-abonnementen, is bedoeld om IP-adressen en DNS-gegevens van gebruikers te verbergen tijdens het browsen in Safari. Toch schiet de dienst tekort in specifieke scenario's met passkeys en andere webtechnologieën.

Passkey-authenticatie omzeilt privacybescherming

Passkeys vertrouwen op de WebAuthn-standaard en slaan privésleutels op het apparaat op in plaats van in de browser. Bij authenticatie handelt de credential-service van het besturingssysteem het verzoek af, onafhankelijk van iCloud Private Relay. Deze directe verbinding zorgt ervoor dat websites het echte IP-adres van het apparaat zien.

Het proces kan plaatsvinden zonder enige gebruikersprompt of zichtbare interface. Websites kunnen WebAuthn-verzoeken configureren om stil te activeren via conditional mediation, waardoor IP-adressen op de achtergrond worden blootgesteld, zelfs op pagina's die slechts doen alsof ze passkeys ondersteunen.

Aanvullende lekken gevonden in DNS-prefetching en WebTransport

Naast passkeys identificeerden de onderzoekers nog twee kwetsbaarheden in WebKit. DNS-prefetching, geïntroduceerd in iOS 26, kan de echte DNS-servers van een gebruiker onthullen. WebTransport, toegevoegd in iOS 26.4, brengt eveneens risico's met zich mee voor het blootstellen van IP-adressen tijdens bepaalde operaties.

Stille tracking mogelijk zonder medeweten van de gebruiker

Een aanvaller zou een website kunnen maken die deze gedragingen misbruikt om beschermde IP-adressen op de achtergrond vast te leggen. Er verschijnt geen passkey-prompt en gebruikers krijgen geen indicatie dat hun locatiegegevens zijn benaderd.

Het probleem ontstaat doordat WebKit WebAuthn-ceremonies delegeert aan de systeemcredential-service, die buiten het proxy-pad van iCloud Private Relay opereert. Dezelfde beperking treft sommige browsers van derden die op het framework zijn gebouwd.

Apple onderzoekt meldingen terwijl gebruikers alternatieven zoeken

Apple heeft bevestigd de bevindingen van Tommy Mysk en Talal Haj Bakry te bekijken. De onderzoekers hebben ook een testwebsite gepubliceerd waarmee gebruikers kunnen controleren of hun eigen sessies IP-informatie lekken.

Totdat een oplossing beschikbaar is, raden experts volledige VPN-oplossingen aan voor sterkere bescherming over al het dataverkeer van het apparaat, in plaats van uitsluitend te vertrouwen op de Safari-specifieke dienst.