Apples IP-adres-bescherming in Safari geeft alsnog je echte gegevens vrij
Beveiligingsonderzoekers Talal Haj Bakry en Tommy Mysk ontdekten het lek in WebKit, de browserengine achter Safari en ook meteen alle andere webbrowsers op iOS en iPadOS. Normaal gesproken houdt Private Relay je IP-adres verborgen tijdens het surfen, maar zodra je inlogt met een passkey, verloopt een deel van het proces buiten de browser om. Daardoor kan je echte IP-adres alsnog zichtbaar worden (via X).
De onderzoekers benadrukken dat het probleem dus niet exclusief is voor Safari. Alle browsers op iOS maken verplicht gebruik van WebKit en worden daardoor eveneens getroffen wanneer Private Relay is ingeschakeld. Dat geldt ook voor privacygerichte browsers zoals OnionBrowser, die juist ontworpen zijn om je IP-adres af te schermen door internetverkeer via meerdere servers te leiden.
Het lek kwam aan het licht tijdens de ontwikkeling van Psylo, een privacybrowser van Bakry en Mysk. Omdat ook die browser op WebKit is gebaseerd, bleek hij automatisch kwetsbaar voor hetzelfde probleem. Belangrijk om te weten is dat het lek alleen optreedt wanneer je een passkey gebruikt om in te loggen. Op dat moment stuurt WebKit een verzoek naar de wachtwoordmanager op je iPhone, waardoor de bescherming van Private Relay tijdelijk wegvalt.
Apple werkt aan een oplossing
Apple heeft tegenover 404 Media bevestigd dat het de kwetsbaarheid onderzoekt. Wanneer er een oplossing verschijnt, is nog niet bekend. Volgens de onderzoekers is het ook niet vreemd dat dit tijd kost, omdat de fout diep in WebKit én Private Relay zit.
Het zou bovendien niet de eerste keer zijn dat Apple langere tijd nodig heeft om een privacyprobleem op te lossen. Eerder bleek dat het bedrijf al in 2025 op de hoogte was van een kwetsbaarheid in de ‘Verberg mijn e-mailadres’-functie van iCloud. Pas ruim een jaar later verscheen daarvoor een beveiligingsupdate.
Gebruik je iCloud+ en vertrouw je op Private Relay om je IP-adres af te schermen, dan is het voorlopig verstandig om rekening te houden met deze beperking. Passkeys blijven een veiligere manier van inloggen dan traditionele wachtwoorden, maar bij het gebruik ervan kan een website in dit specifieke geval alsnog je echte IP-adres achterhalen. Wil je dat risico volledig vermijden, dan biedt alleen een reguliere VPN bescherming voor al het internetverkeer op je toestel.
