安全研究员 Tommy Mysk 与 Talal Haj Bakry 发现，苹果 iCloud+ 付费功能「专用代理」存在缺陷，部分情况下无法真正隐藏用户 IP：任何支持或假装支持 passkey 的网站都可能借此获取用户真实 IP，不少网站已在无意中收集了这些信息。研究员搭建了检测网站，404 Media 实测确认其能返回本应受保护用户的真实 IP。
问题根源在于 iOS 上所有浏览器都必须使用的 WebKit 引擎：passkey 验证时，设备由系统凭证服务而非 Safari 发起请求，绕开了隐私中继的代理路径。缺陷还波及 iOS 上的 Tor 浏览器 OnionBrowser。上月苹果「隐藏邮件地址」也被曝泄露用户真实邮箱，苹果回应称正在调查。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
暂无评论内容