Исследователи безопасности обнаружили, что большинство приложений, связанных с сервисами Apple, на iOS 16 отправляют данные в обход установленного VPN-соединения.
В марте 2020 года компания ProtonVPN обнаружила ошибку в iOS 13.3.1 и более поздних версиях, которая могла помешать VPN-сервису полностью шифровать трафик. Она позволяла раскрывать данные и IP-адреса, не завершая существующие сетевые соединения после того, как пользователь активировал VPN-соединение.
Затем, в августе 2022 года, исследователь Майкл Хоровиц обнаружил, что уязвимость по-прежнему присутствует в iOS.
«Для выявления этой проблемы требуется так мало времени и усилий, и проблема настолько постоянна, что если бы в [Apple] вообще пыталась, они должны были бы суметь её воспроизвести», – написал он.
Недавно другой исследователь безопасности изучил этот вопрос и обнаружил результаты, аналогичные показаниям Хоровица.
Томми Мыск поделился результатами собственных тестов с использованием ProtonVPN и Wireshark, инструмента для перехвата и анализа сетевого трафика. Он обнаружил, что DNS-запросы от некоторых приложений Apple на iOS 16 игнорируют VPN при обмене данными с серверами Apple.
Утечку данных зафиксировали в приложениях Apple Store, Clips, «Файлы», «Локатор», «Здоровье», «Карты», «Настройки» и Wallet. Большинство приложений, например, «Здоровье», отвечают за обработку конфиденциальной информации пользователя.
Мыск обнаружил, что приложения для Android ведут себя точно так же при работе с сервисами Google.
«Я знаю, о чем вы спрашиваете себя, и ответ – ДА. Android взаимодействует со службами Google вне активного VPN-соединения, – написал он, – даже с опциями «Всегда включен» и «Блокировать соединения без VPN». Я использовал телефон Pixel под управлением Android 13».
Некоторые приложения, например «Здоровье», используют сквозное шифрование для подключения к серверам Apple. Другие используют шифрование при передаче и в режиме ожидания.
iCloud компании Apple шифрует данные в момент их отправки на один из своих серверов, а затем хранит их в зашифрованном виде вместе с ключами шифрования. Сквозное шифрование подразумевает, что только устройство пользователя может зашифровать и расшифровать его информацию, а Apple не может получить к ней доступ.
Может ли злоумышленник прослушивать не-VPN трафик из этих приложений, чтобы получить информацию о данных или пользователе, неясно. Однако учитывая, что эта проблема и такое же поведение на Android в отношении сервисов Google сохраняется уже несколько лет, вероятно, это намеренное поведение осуществляется по причине, известной только Apple и Google.
Как избежать проблемы с VPN
Единственный способ убедиться, что данные Apple и Google не «утекают» из VPN-соединения, — это использовать VPN на Wi-Fi роутере. На устройстве нет способа принудительно решить эту проблему.
Ещё по теме:
- 1Password 8 представил отдельное, новое приложение для Apple Watch
- В России разбили ВАЗ-2108 для проверки функции SOS-оповещения о ДТП на iPhone 14 — безрезультатно
- Интеграция Apple Music, Apple TV и «Фото iCloud» появятся в Windows
