DNS- und IP-Leck unter iOS: WebKit umgeht Ihre Proxys – selbst mit aktiviertem iCloud Private Relay

Forschende von mysk.blog haben entdeckt, dass WebKit – die obligatorische Engine aller iOS-Browser – DNS-Anfragen sendet und die tatsächliche IP-Adresse preisgibt, bevor der Proxy-Tunnel aufgebaut ist. iCloud Private Relay schützt nicht vor diesem Verhalten.

Das technische Problem

Die Forscher von mysk.blog haben eine undichte Stelle in WebKit dokumentiert (der Rendering-Engine, die Apple allen Browsern auf iOS/iPadOS über die App-Store-Regeln vorschreibt): In bestimmten Netzwerkkonfigurationen sendet WebKit DNS-Anfragen oder stellt TCP-Verbindungen her, bevor der konfigurierte Proxy aktiv ist, wodurch Folgendes offengelegt wird:

• Die echte IP-Adresse des Geräts an Drittanbieter-Server
• Die Domainnamen der geladenen Ressourcen (DNS-Leak)

Dieses Verhalten umgeht iCloud Private Relay (Apples Netzwerkprivatsphäre-Funktion für iCloud+-Abonnenten) sowie manuell konfigurierte VPNs und Proxys.

Reichweite

Betroffene Nutzer:

• Alle iOS/iPadOS-Nutzer, die ein VPN oder Proxy aus Gründen der Privatsphäre verwenden
• iCloud+-Abonnenten, die sich auf Private Relay verlassen, um ihre IP zu verbergen
• Apps, die WKWebView nutzen (die Standard-WebKit-Komponente für Webviews in iOS-Apps)

Möglicherweise exponierte Daten:

• Die echte IP-Adresse des Geräts, die an DNS-Zwischenserver übermittelt wird
• Die Domainnamen der geladenen Ressourcen, die außerhalb des Tunnels offengelegt werden

Die undichte Stelle ist teilweise und bedingt – sie betrifft nicht alle Anfragen, sondern bestimmte Arten des Ressourcenladens. Dennoch reicht sie aus, um die Netzwerkprivatsphäre in sensiblen Kontexten zu gefährden.

iOS-Kontext: Eine einzige Engine für alle

Auf Android nutzt Chrome Blink, Firefox Gecko. Auf iOS müssen alle Browser – Chrome, Firefox, Brave, Opera, DuckDuckGo – WebKit nutzen, aufgrund der App-Store-Regeln. Eine Schwachstelle in WebKit betrifft daher gleichzeitig 100 % der iOS-Browser, unabhängig vom Herausgeber.

Apple hat eine teilweise Ausnahme für alternative Browser in der Europäischen Union eingeführt (DMA, 2024), aber die Mehrheit der iOS-Nutzer weltweit bleibt auf WebKit angewiesen.

Was tun?

Nutzer:

• iCloud Private Relay nicht als absolute Anonymitätslösung betrachten – es mildert die Nachverfolgbarkeit, ist aber kein vollständiges VPN
• Sobald möglich das nächste iOS/iPadOS-Update installieren (der Fix wird über ein WebKit-Patch bereitgestellt)
• Für hochsensible Nutzung auf iOS: VPN + aktive Netzwerkverkehrsüberwachung kombinieren

Entwickler:

• Testen Sie Ihre WKWebView-Komponenten mit aktivem Proxy und einem Netzwerkverkehrsanalyse-Tool (Charles Proxy, mitmproxy), um mögliche Anfragen außerhalb des Tunnels zu erkennen
• Prüfen Sie, dass Ihre WebView-Komponenten keine Prefetch-/Preconnect-Anfragen stellen, bevor die Netzwerkkonfigurationen korrekt eingerichtet sind