Celah Keamanan WebKit Bocorkan IP Pengguna iCloud Private Relay

Telset.id – Para peneliti keamanan menemukan tiga celah di WebKit, mesin browser milik Apple, yang mampu membocorkan alamat IP pengguna iCloud Private Relay. Temuan ini berdampak pada semua browser di ekosistem Apple, termasuk Safari, karena WebKit bersifat wajib bagi seluruh browser yang berjalan di perangkat tersebut.

Peneliti keamanan Talal Haj Bakry dan Tommy Mysk menemukan bahwa ketiga celah tersebut memungkinkan lalu lintas data dikirim langsung dari perangkat, melewati konfigurasi proxy yang seharusnya menyembunyikan identitas pengguna. “DNS prefetching menyelesaikan hostname melalui jalur DNS normal perangkat, yang mengungkap server DNS asli pengguna, bukan milik proxy,” tulis para peneliti.

Celah pertama, DNS prefetching, tersedia sejak iOS 26.0. Fitur ini bekerja dengan menyelesaikan hostname melalui jalur DNS normal perangkat, sehingga server DNS asli pengguna terekspos. Celah kedua, WebAuthn Related Origin Requests, membuat layanan kredensial sistem operasi mengambil file validasi langsung dari perangkat, yang mengekspos alamat IP asli. Fitur ini tersedia sejak iOS 18.0.

Celah ketiga, WebTransport, membuka koneksi HTTP/3 langsung dan melewati proxy, yang juga mengekspos alamat IP asli perangkat. Fitur ini tersedia sejak iOS 26.4. Ketiga celah ini secara spesifik menyerang fitur Private Relay, layanan privasi yang tersedia dengan langganan iCloud+ yang menyembunyikan alamat IP pengguna dan mengenkripsi lalu lintas web Safari.

Penting untuk dipahami bahwa Private Relay tidak bekerja seperti VPN. Layanan ini hanya menangani lalu lintas browser dan tidak menyamarkan aliran data dari aplikasi dan program lain. Meskipun demikian, karena WebKit adalah mesin wajib untuk semua browser di ekosistem Apple, kerentanan ini mempengaruhi seluruh browser yang berjalan di perangkat tersebut.

Beberapa browser telah merespons temuan ini dengan cepat. Tor dan Psylo, browser milik Tommy Mysk sendiri, telah mengeluarkan perbaikan untuk mengatasi celah keamanan tersebut. Sementara itu, Apple belum mengonfirmasi kapan patch akan dirilis atau bahkan apakah mereka sedang mengerjakan perbaikan. Menurut laporan 404 Media, Apple hanya menyatakan sedang meninjau laporan penelitian tersebut.

Para peneliti juga membangun situs web khusus di mana pengguna dapat memeriksa apakah Private Relay bekerja sebagaimana mestinya atau masih membocorkan alamat IP asli mereka ke publik. Ini menjadi langkah penting bagi pengguna yang ingin memverifikasi status keamanan perangkat mereka secara mandiri.

Temuan ini menyoroti bahwa fitur privasi premium sekalipun tidak sepenuhnya kebal terhadap kebocoran data. Pengguna iCloud+ yang mengandalkan Private Relay untuk melindungi identitas mereka saat browsing kini harus mempertimbangkan risiko ini. Meskipun Apple belum memberikan jadwal perbaikan, pengguna dapat mengambil langkah proaktif dengan memeriksa status Private Relay mereka melalui situs yang disediakan peneliti.

Bagi pengguna yang sangat bergantung pada privasi saat browsing, temuan ini menjadi pengingat bahwa keamanan siber memerlukan kewaspadaan berlapis. Sementara menunggu perbaikan resmi dari Apple, pengguna dapat mempertimbangkan alternatif seperti browser yang telah menerbitkan patch atau layanan VPN terpisah untuk lalu lintas browser mereka.

Para peneliti menekankan bahwa masalah ini bersifat fundamental karena menyentuh arsitektur WebKit itu sendiri. Selama Apple belum merilis pembaruan yang mengatasi ketiga celah tersebut, semua pengguna browser di ekosistem Apple tetap berisiko mengalami kebocoran alamat IP, terlepas dari apakah mereka menggunakan Private Relay atau tidak.

Apple sebelumnya telah menunjukkan komitmen terhadap privasi pengguna melalui berbagai fitur, namun temuan ini menunjukkan bahwa masih ada celah yang perlu ditutup. Komunitas keamanan siber kini menantikan respons resmi Apple terhadap laporan penelitian ini, sementara pengguna disarankan untuk tetap waspada dan memantau pembaruan sistem operasi mereka.

Perlu dicatat bahwa dampak dari celah keamanan ini tidak terbatas pada Safari saja. Karena WebKit adalah komponen wajib untuk semua browser di perangkat Apple, termasuk browser pihak ketiga yang tersedia di App Store, seluruh pengguna browser di ekosistem Apple terkena dampaknya. Ini menjadikan temuan ini sebagai masalah keamanan yang luas dan mendesak.

Dalam dunia keamanan siber, temuan seperti ini sering menjadi pemicu bagi pengguna untuk mengevaluasi ulang strategi privasi mereka. Bagi pengguna iCloud+, langkah pertama yang bisa dilakukan adalah memeriksa apakah Private Relay mereka masih berfungsi dengan benar menggunakan alat yang disediakan peneliti. Jika ditemukan kebocoran, pengguna mungkin perlu mempertimbangkan lapisan keamanan tambahan hingga Apple merilis perbaikan resmi.

Sejarah menunjukkan bahwa Apple biasanya merespons temuan keamanan serius dengan pembaruan sistem operasi. Namun, hingga saat ini, perusahaan belum memberikan timeline kapan perbaikan untuk ketiga celah WebKit ini akan tersedia. Pengguna disarankan untuk secara rutin memeriksa pembaruan perangkat lunak dan menginstalnya segera setelah tersedia.

Sementara itu, para ahli keamanan merekomendasikan pengguna untuk tidak mengandalkan satu lapisan privasi saja. Kombinasi antara Private Relay, VPN, dan praktik browsing yang aman dapat memberikan perlindungan yang lebih baik terhadap kebocoran data. Namun, perlu diingat bahwa tidak ada solusi yang sempurna, dan setiap lapisan keamanan memiliki keterbatasannya masing-masing.

Temuan ini juga menjadi pelajaran berharga bagi industri teknologi tentang pentingnya audit keamanan menyeluruh pada fitur privasi. Meskipun Private Relay dirancang dengan tujuan mulia, kenyataannya implementasi teknis dapat memiliki celah yang tidak terduga. Hal ini menegaskan bahwa keamanan siber adalah proses yang berkelanjutan, bukan produk jadi yang sekali selesai.

Bagi pengguna yang ingin mengetahui lebih lanjut tentang temuan ini, para peneliti telah mempublikasikan detail teknis lengkap mengenai ketiga celah tersebut. Informasi ini berguna tidak hanya bagi pengguna biasa, tetapi juga bagi pengembang browser dan profesional keamanan yang ingin memahami cakupan masalah ini secara mendalam.

Apple belum memberikan pernyataan resmi mengenai kapan perbaikan akan dirilis. Namun, dengan meningkatnya perhatian terhadap temuan ini, tekanan pada Apple untuk segera merespons kemungkinan akan semakin besar. Pengguna disarankan untuk terus memantau pembaruan dari Apple dan mengambil langkah perlindungan tambahan jika diperlukan.

Dalam jangka panjang, temuan ini dapat mendorong Apple untuk melakukan audit keamanan yang lebih mendalam pada infrastruktur WebKit. Mengingat WebKit digunakan oleh miliaran perangkat di seluruh dunia, keamanan mesin browser ini memiliki implikasi yang sangat luas bagi privasi pengguna global.

Untuk informasi lebih lanjut tentang isu keamanan Apple lainnya, Anda dapat membaca artikel tentang celah keamanan Private Relay sebelumnya. Selain itu, perkembangan terbaru tentang iPhone Ultra dan proyek Virtual Mac juga menarik untuk diikuti bagi penggemar produk Apple.