研究者、iCloud Private Relayを回避可能な3つの経路を発見

セキュリティ研究者のTalal Haj Bakry氏とTommy Mysk氏は、Appleのブラウザおよび認証技術に関わる3つのリクエスト経路が、プロキシによる保護を回避してユーザーの実際のネットワーク情報を露出させてしまう可能性があることを突き止めました。

この脆弱性は、Safariでのブラウジング中にユーザーのIPアドレスやDNS情報を隠すために設計された有料のiCloud+機能「iCloud Private Relay」に影響します。また、Appleのプロキシ設定システムに依存する一部のWebKitベースのブラウザにも影響が及びます。これにはiOS向けのプライバシー重視型ブラウザも含まれます。

研究者らによると、問題の原因はWebKitの3つの機能、すなわちDNSプリフェッチ、WebAuthn Related Origin Requests、そしてWebTransportにあるとのことです。

これら3つの機能は「設定済みのプロキシを迂回し、デバイスから直接トラフィックを送信してしまうため、ユーザーの実際のネットワークが露出する」と、研究者らはレポートに記しています。

研究者らは、Private Relayが有効な状態でもユーザーの実際のIPアドレスが露出しているかどうかを示す概念実証(PoC)用のWebサイトを通じて、この問題を検証したと述べています。

最大のプライバシーリスクを生むWebAuthnリクエスト

最も懸念される問題はWebAuthn、すなわちパスキーの基盤技術に関わるものです。もっとも、この問題によってパスキー自体の暗号処理が危険にさらされるわけではありません。

パスキーは通常、セキュリティを向上させる技術です。パスワードをデバイスに保存された暗号学的な認証情報に置き換えるためです。しかし研究者らは、一部のWebAuthnリクエストがSafariの外側、つまりAppleのオペレーティングシステムの認証情報サービスによって処理されていることを発見しました。つまり、これらのリクエストはPrivate Relayの保護された経路を通過しないということです。

「このフェッチはSafariではなくオペレーティングシステムの認証情報サービスによって発行されるため、Private Relayのプロキシ経路には一切入りません。いずれにせよ、宛先サーバーにはデバイスの実際のIPアドレスが見えてしまいます」と研究者らは記しています。

調査結果によれば、この挙動を引き起こすためにユーザーがログインしたりパスキーのプロンプトを操作したりする必要は必ずしもありません。この挙動を悪用するように設計されたサイトであれば、Private Relayを利用するユーザーの実際のIPアドレスを収集できる可能性があります。

保護を回避する他のWebKit機能

研究者らは、情報漏えいにつながりうる2つの経路をさらに特定しました。ドメイン名を事前に解決してページの読み込みを高速化するブラウザの性能向上機能「DNSプリフェッチ」は、Private Relayではなくデバイスの通常の接続を通じてDNSリクエストを送信することがあり、DNS関連の活動やそれに付随するネットワーク情報を露出させる可能性があります。

HTTP/3をベースとする比較的新しい通信技術「WebTransport」は、設定済みのプロキシを迂回する直接接続を確立し、デバイスのIPアドレスを露出させる可能性があります。ほとんどのiOSブラウザはWebKitを使用しているため、この問題はSafariにとどまらない可能性があります。ただしAppleは、欧州連合(EU)内で一定の条件を満たすブラウザに対しては、代替のエンジンの使用を認めています。つまり、Appleのエンジンを使用する他のブラウザにも同様の影響が及ぶ可能性があるということです。

デバイス全体を対象とする適切に設定されたVPNであれば、Private Relayよりも広範なトラフィックを保護するため、これらのリクエスト経路もカバーできるはずです。ただし、実際のカバー範囲はVPNのルーティング設定やDNS設定次第です。

改めて注目を集めるプライバシー機能

今回の発見は、Private Relayと完全なVPNとの間にある重要な違いを浮き彫りにしています。AppleはPrivate Relayを、iPhoneやMacが行うすべての接続ではなく、Safariでのブラウジングトラフィックを保護するために設計しています。

Appleは、Private Relayをネットワークプロバイダーやウェブサイトがユーザーの識別情報とブラウジング活動を容易に結び付けられないようにするシステムだと説明しています。しかし今回の調査結果は、通常のウェブトラフィック経路の外側で動作するブラウザ機能が、こうした保護を弱めてしまう可能性を示しています。

この問題が発覚したのは、Appleの「Hide My Email」機能をめぐる別のプライバシー問題が明らかになった直後のことです。研究者らによると、この機能は特定の条件下で一部ユーザーの実際のメールアドレスを露出させていたとのことです。

より強固な匿名性を求めてPrivate Relayを利用しているユーザーにとって、今回の件から得られる最大の教訓は、ブラウザレベルのプライバシーツールには限界があり得るということです。利便性やパフォーマンスの向上を目的として設計された機能が、同一のセキュリティモデルに統合されていない場合、そうした保護を迂回する予期せぬ経路を生み出してしまう可能性があります。

Appleは404 Mediaに対し、研究者らの報告について調査中であるとコメントしていますが、修正の時期については明らかにしていません。 

あわせて読みたい: Appleは最近、複数のオペレーティングシステムに影響する 実際に悪用されていたゼロデイの脆弱性を修正しました。