เตือนภัย! ฟีเจอร์ Private Relay ของ Apple อาจทำ IP จริงรั่วไหลได้
ทีมนักวิจัยเผยช่องโหว่ใน WebKit ที่ทำให้ Private Relay ของ Apple ไม่สามารถปกปิดที่อยู่ IP จริงของผู้ใช้งาน Safari ได้อย่างสมบูรณ์
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- Private Relay ของ Apple ถูกพบช่องโหว่ที่ทำให้ IP จริงรั่วไหล
- ทีมนักวิจัย Talal Haj Bakry และ Tommy Mysk เป็นผู้ค้นพบปัญหา
- ต้นตอของปัญหามาจากฟีเจอร์ 3 อย่างในเอนจิน WebKit ของ iOS
- นักวิจัยตัดสินใจไม่แจ้ง Apple และเลือกเปิดเผยต่อสาธารณะทันที
ผู้ใช้งานอุปกรณ์ Apple ที่เปิดใช้งานฟีเจอร์ Private Relay เพื่อปกปิดตัวตนขณะท่องเว็บไซต์ผ่านเบราว์เซอร์ Safari อาจต้องระมัดระวังกันมากขึ้น เนื่องจากนักวิจัยด้านความปลอดภัยได้ออกมาเปิดเผยว่าฟีเจอร์ดังกล่าวสามารถถูกเจาะเพื่อเปิดเผยที่อยู่ IP จริงของผู้ใช้งานได้จากข้อบกพร่องหลายประการ
ประเด็นความปลอดภัยนี้ถูกเปิดเผยผ่านบล็อกโพสต์เมื่อวันอัปเดตข้อมูล โดยกลุ่มนักวิจัยได้สร้างเว็บไซต์พิเศษขึ้นมาเพื่อให้ทุกคนสามารถทดสอบได้ด้วยตนเองว่าที่อยู่ IP จริงของตนเองรั่วไหลหรือไม่ แม้จะเปิดใช้งาน Private Relay อยู่ก็ตาม และจากการทดสอบจริงโดยสำนักข่าว TechCrunch เมื่อวันอัปเดตข้อมูล ยืนยันว่าเว็บไซต์ดังกล่าวสามารถตรวจจับและแสดงที่อยู่ IP จริงออกมาได้จริงๆ โดยข่าวนี้ถูกรายงานครั้งแรกโดยสำนักข่าว 404 Media
ทางด้าน Talal Haj Bakry และ Tommy Mysk สองนักวิจัยผู้ค้นพบปัญหา ได้อธิบายรายละเอียดในบล็อกโพสต์ว่า ต้นตอของปัญหาไม่ได้มาจากตัว Private Relay โดยตรง แต่ซ่อนอยู่ภายใต้ฟีเจอร์ 3 รายการในเอนจินเบราว์เซอร์ WebKit ของ Apple ซึ่งถูกใช้งานโดยเบราว์เซอร์ทุกลำดับบนระบบปฏิบัติการ iOS ทั้งนี้ Private Relay เปิดให้บริการเฉพาะสมาชิก iCloud+ เท่านั้น และมีกลไกการทำงานที่แตกต่างจาก Virtual Private Network หรือ VPN ทั่วไป เนื่องจาก VPN จะช่วยปกป้อง IP ในระดับระบบปฏิบัติการ แต่ Private Relay จะทำงานเฉพาะเมื่อใช้งานผ่าน Safari เท่านั้น
การที่ฟีเจอร์ความเป็นส่วนตัวอย่าง Private Relay เกิดช่องโหว่ลักษณะนี้สะท้อนให้เห็นว่าระบบการปกปิดตัวตนบนโลกออนไลน์มีความซับซ้อนสูง แม้ว่า Apple จะออกแบบมาเพื่อความปลอดภัยของผู้ใช้ แต่การพึ่งพาเอนจินเบราว์เซอร์หลักอย่าง WebKit อาจสร้างช่องว่างที่คาดไม่ถึง การที่นักวิจัยเลือกที่จะไม่แจ้งเตือนบริษัทผู้พัฒนาโดยตรง แต่เปิดเครื่องมือทดสอบให้สาธารณะตรวจสอบได้ทันที ถือเป็นกลยุทธ์การกดดันทางอ้อมที่พบได้บ่อยขึ้นในวงการความปลอดภัยไซเบอร์ยุคใหม่ เพื่อหลีกเลี่ยงกระบวนการตรวจสอบที่ล่าช้า
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
นอกจากนี้ Tommy Mysk ยังได้โพสต์ข้อความผ่านแพลตฟอร์ม X ระบุถึงเหตุผลที่ทีมงานตัดสินใจไม่แจ้งเรื่องนี้ให้ Apple ทราบล่วงหน้า โดยอ้างอิงจากประสบการณ์ในอดีตที่การรายงานปัญหาโหวืต่อ Apple มักจะต้องเผชิญกับความล่าช้านานหลายเดือน การสื่อสารที่ไม่สม่ำเสมอ และในบางกรณีทางบริษัทปฏิเสธผลกระทบจากช่องโหว่นั้นอย่างสิ้นเชิง
ในส่วนของการตอบสนองจากฝั่งบริษัทผู้พัฒนา ทาง Apple ยังไม่ได้ออกมาให้ความเห็นใดๆ ต่อคำร้องขอสัมภาษณ์ในทันทีหลังจากการเปิดเผยดังกล่าว อย่างไรก็ตาม ทีมนักวิจัยกลุ่มนี้ได้พัฒนาเว็บเบราว์เซอร์ที่มีความเป็นส่วนตัวสูงในชื่อ Psylo พร้อมทั้งระบุว่าเบราว์เซอร์ดังกล่าวได้มีการอัปเดตมาตรการป้องกัน เพื่อไม่ให้ที่อยู่ IP ของผู้ใช้งานรั่วไหลขณะใช้งาน Psylo เป็นที่เรียบร้อยแล้ว
ที่มา: TechCrunch
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น