iCloud Private Relay ไม่ปกปิด IP เมื่อใช้ Passkey บน iOS.

การวิจัยของผู้เชี่ยวชาญด้านความปลอดภัยเปิดเผยว่าระบบ iCloud Private Relay ของ Apple ไม่ได้ปกปิดที่อยู่ IP จริงของผู้ใช้เสมอไปเมื่อมีการเรียกร้อง passkey ผ่านเว็บ — ช่องโหว่นี้ทำให้เว็บไซต์สามารถข้ามเส้นทางของ Safari ไปยังระบบบริการรับรองตัวตนระดับระบบและเปิดเผย IP ของผู้ใช้ได้ Apple ยืนยันกำลังตรวจสอบเหตุการณ์ดังกล่าว

Overview

ปัญหานี้เกี่ยวข้องกับการทำงานของ WebAuthn (มาตรฐานยืนยันตัวตนแบบ passwordless) บนอุปกรณ์ iOS เมื่อเว็บเพจร้องขอให้ผู้ใช้เลือกหรือสร้าง passkey ระบบ credential ของ Apple จะเข้ามาจัดการคำขอนั้นโดยตรง แทนที่จะส่งผ่านกระบวนการปกติของ Safari ที่ถูกกำหนดให้ใช้ iCloud Private Relay เพื่อซ่อน IP ผู้ใช้ ผลลัพธ์คือบางคำขอสามารถหลีกเลี่ยงเส้นทางที่ทำหน้าที่เป็นตัวกลางได้

ผู้วิจัยสองคนคือ Tommy Mysk และ Talal Haj Bakry รายงานว่าการบังคับให้ระบบระดับระบบเข้ามาจัดการคำขอเหล่านี้ ทำให้ข้อมูลเครือข่ายถูกส่งออกโดยตรงจากอุปกรณ์ไปยังเซิร์ฟเวอร์ของเว็บไซต์ ซึ่งทำให้ที่อยู่ IP จริงปรากฏต่อผู้รับบริการ

Technical Details

ในแง่เทคนิค ช่องโหว่เกิดจากวิธีการจัดการ WebAuthn request ที่ไม่ผ่าน “stack” ของ Safari แต่ถูกส่งให้บริการ credential service ของระบบปฏิบัติการดำเนินการโดยตรง ซึ่งไม่ได้รับผลกระทบจาก iCloud Private Relay

• คำขอ passkey หรือแม้แต่การแสดงผลปลอมว่าเว็บไซต์รองรับ passkey จะทำให้เครือข่าย request ถูกส่งผ่านระบบระดับ system-level credential service
• เนื่องจากเส้นทางนี้ไม่ได้ถูกปกปิดโดย Private Relay ที่เป็นส่วนหนึ่งของ Safari จึงเปิดเผย IP ของอุปกรณ์ผู้ใช้ต่อเว็บที่ทำการเรียกร้อง

ผลกระทบเชิงโครงสร้างคือ แม้ผู้ใช้จะเปิดใช้งาน Private Relay อยู่แล้วก็ยังสามารถถูกระบุตำแหน่งโดยเว็บไซต์ที่สนับสนุน WebAuthn ได้

Impact on Users

สำหรับผู้ใช้ iPhone หรือ iPad ที่พึ่งพา passkey เป็นวิธีการเข้าสู่ระบบหลัก ความเสี่ยงคือข้อมูลตำแหน่งที่อาจถูกเปิดเผยโดยไม่ได้ตั้งใจ แม้เมื่อผู้ใช้ได้เลือกปิดฟังก์ชันแชร์ตำแหน่งหรือใช้ VPN คำขอผ่าน credential service ยังสามารถบรรลุ IP จริงได้

ผลกระทบนี้มีนัยสำคัญต่อความเชื่อมั่นในระบบ passwordless ของ Apple ซึ่งถูกตลาดมองว่าเป็นมาตรการเพิ่มความปลอดภัยและความเป็นส่วนตัว หากช่องโหว่ดังกล่าวไม่ถูกแก้ไขอาจทำให้ผู้ใช้หันไปพิจารณาเครื่องมือจัดการรหัสผ่านของบริษัทอื่นที่มีการตรวจสอบด้าน privacy อย่างเข้มงวดกว่า

Apple’s Response

Apple ยืนยันได้รับรายงานจากนักวิจัยและกำลังอยู่ในขั้นตอน “investigating” ตามคำแถลงของบริษัท การสืบสวนนี้ครอบคลุมทั้งส่วนของ WebKit (เอนจินเบราว์เซอร์) และระบบ credential service เพื่อหาจุดอ่อนที่ทำให้การเชื่อมต่อผ่าน passkey สามารถหลีกเลี่ยง Private Relay

จนถึงขณะนี้ Apple ยังไม่ได้เปิดเผยกำหนดเวลาปรับปรุงหรือเวอร์ชันที่จะแก้ไขช่องโหว่ดังกล่าว อย่างไรก็ตาม บริษัทมีประวัติการปล่อยอัปเดตความปลอดภัยอย่างรวดเร็วเมื่อพบข้อบกพร่องสำคัญในระบบ iOS

Broader Implications

เหตุการณ์นี้สะท้อนให้เห็นว่าการย้ายจากรหัสผ่านแบบดั้งเดิมไปสู่ passwordless authentication ยังคงมี “cracks” ที่อาจถูกโจมตีได้ แม้เทคโนโลยีใหม่จะออกแบบมาเพื่อเพิ่มความปลอดภัยและลดภาระการจัดการรหัสผ่าน

• ความเป็นส่วนตัวของผู้ใช้ที่พึ่งพา iCloud Private Relay อาจไม่ได้รับการคุ้มครองอย่างเต็มที่ในบางกรณี
• นักพัฒนาเว็บควรตระหนักว่าการเรียกใช้ WebAuthn บน iOS มีผลต่อเส้นทางเครือข่ายและอาจต้องตรวจสอบวิธีการจัดการ credential อย่างปลอดภัย

ประเด็นนี้ยังเป็นสัญญาณเตือนให้ผู้ผลิตระบบปฏิบัติการและบริการคลาวด์ทบทวนการผสานรวมระหว่างมาตรฐานยืนยันตัวตนใหม่กับกลไก privacy ที่มีอยู่แล้ว เพื่อหลีกเลี่ยงช่องโหว่ที่อาจทำให้ข้อมูลส่วนบุคคลถูกเปิดเผยโดยไม่ได้ตั้งใจ

Summary

นักวิจัยพบว่าการร้องขอ passkey บน iOS สามารถหลบเส้นทางของ iCloud Private Relay ทำให้ IP ของผู้ใช้ปรากฏต่อเว็บไซต์ Apple กำลังตรวจสอบปัญหาและจะออกการแก้ไขในอนาคต ช่องโหว่นี้เน้นย้ำความสำคัญของการทบทวนมาตรฐาน passwordless ให้สอดคล้องกับกลไก privacy อย่างเข้มงวด.