เว็บเบราว์เซอร์ iOS และ Mac เสี่ยง IP รั่ว เพราะ WebKit บายพาส Private Relay

ประเด็นใหญ่: WebKit ช่องโหว่ความปลอดภัย ที่ทำให้ IP address รั่ว iOS และ Mac

WebKit ช่องโหว่ความปลอดภัยชุดใหม่คือช่องโหว่สามจุดในเอนจินเบราว์เซอร์ของแอปเปิล ที่เปิดทางให้เว็บไซต์สามารถเห็น IP address จริงและคำขอ DNS ของผู้ใช้บน iOS และ macOS ได้ แม้จะเปิด iCloud Private Relay หรือใช้เบราว์เซอร์ที่พึ่งพา proxy และเครือข่าย Tor ก็ตาม ช่องโหว่นี้ไม่ได้เป็นแค่บั๊กเล็กๆ แต่คือปัญหาเชิงสถาปัตยกรรมที่ทำให้แนวคิด “พร็อกซีป้องกันตัวตน” กลายเป็นภาพลวงตา เมื่อโค้ดบางส่วนใน WebKit ส่งทราฟฟิกออกจากระบบโดยไม่ผ่านชั้นป้องกันใดๆ มุมที่น่ากังวลคือ ผู้ใช้จำนวนมากเชื่อว่าเปิด Private Relay แล้วก็ปลอดภัย จากนั้นถือว่า Safari และเบราว์เซอร์สายความเป็นส่วนตัวบน iOS หรือ Mac มีความปลอดภัยเบราว์เซอร์ Mac สูงพอจะซ่อนที่อยู่จริงของตนเอง แต่ช่องโหว่นี้พิสูจน์ตรงกันข้ามอย่างชัดเจน IP address รั่ว iOS และ macOS ไม่ได้เกิดจากการตั้งค่าผิดของแอปเบราว์เซอร์ แต่เกิดจากฟีเจอร์ระดับระบบที่ถูกออกแบบให้ทำงานนอกเส้นทางแยกทราฟฟิกของพร็อกซี ในเชิงความคิดเห็น ผู้เขียนมองว่านี่คือจุดเปลี่ยนสำคัญของการใช้งานเครื่อง Apple เพื่อความเป็นส่วนตัว การที่ช่องโหว่เดียวสามารถ Private Relay บายพาส และกระทบเบราว์เซอร์ Tor พร้อมกัน แปลว่าผู้ใช้ไม่ควรฝากความปลอดภัยทั้งหมดไว้กับชั้นเบราว์เซอร์อีกต่อไป หากเรายังไม่มองทราฟฟิกทั้งหมดที่ระดับระบบปฏิบัติการ ความเสี่ยงรั่วตัวตนก็จะอยู่กับเราเสมอ ไม่ว่าผู้พัฒนาจะโฆษณาเรื่อง privacy อย่างสวยหรูแค่ไหนก็ตาม

สามฟีเจอร์ใน WebKit ที่กลายเป็นประตูหลังให้เว็บเห็นตัวตนจริงของคุณ

สิ่งที่ทำให้ช่องโหว่นี้ทรงพลังคือมันไม่ได้มาจากฟีเจอร์แปลกประหลาด แต่เกิดจากสามฟีเจอร์ที่ถูกออกแบบมาเพื่อเพิ่มประสบการณ์ใช้งานเว็บ แล้วกลับกลายเป็นท่อ IP รั่วแทน ได้แก่ DNS prefetching, WebAuthn Related Origin Requests และ WebTransport ทั้งสามตัวเริ่มการเชื่อมต่อเครือข่ายนอกเส้นทางปกติของการโหลดหน้าเว็บ ซึ่งเป็นเส้นทางที่พร็อกซีและ iCloud Private Relay ควบคุมอยู่ DNS prefetching เปิดให้เว็บสั่งให้เบราว์เซอร์ resolve hostname ล่วงหน้า ผ่านแท็ก link rel="dns-prefetch" ทำให้ WebKit ใช้เส้นทาง DNS ปกติของเครื่องโดยไม่สนใจ proxy ส่งผลให้เว็บสามารถฝัง hostname เฉพาะต่อผู้ใช้แต่ละคน แล้วดูคำขอ DNS ที่มาถึงเซิร์ฟเวอร์ของตนจาก IP จริงของผู้ใช้ ส่วน WebAuthn passkey ที่ใช้กลไก Related Origin Requests น่ากังวลยิ่งกว่า เพราะระบบปฏิบัติการจะเรียกไฟล์ตรวจสอบจาก origin ที่เกี่ยวข้องผ่าน credential service โดยตรง ไม่ใช่ผ่านเบราว์เซอร์ และสามารถทำแบบเบื้องหลังโดยที่ไม่มี prompt ใดๆ แสดงบนหน้าจอผู้ใช้เลย ฟีเจอร์สุดท้ายคือ WebTransport ที่ใช้ HTTP/3 ผ่าน QUIC เมื่อเว็บเรียก new WebTransport(url) WebKit จะตั้งการเชื่อมต่อด้วยการตั้งค่าเครือข่ายของตัวเองแทน proxy ของ session ทำให้เซิร์ฟเวอร์เห็น IP จริงของเครื่องทันที ในมุมมองของผู้เขียน ผู้ออกแบบ API เหล่านี้ดูจะให้ความสำคัญกับ performance และฟังก์ชันมากกว่าความเป็นส่วนตัวอย่างชัดเจน การเปิดทางให้โค้ดในเบราว์เซอร์มีสิทธิยิงทราฟฟิกตรงจากระบบปฏิบัติการโดยไม่ผ่านชั้นป้องกัน เป็นการออกแบบที่สวนทางกับการโฆษณาว่าแพลตฟอร์มนี้ "เน้น privacy" อย่างสิ้นเชิง

ทำไม Private Relay บายพาส และเบราว์เซอร์สาย Tor ก็ไม่รอด

หลายคนอาจคิดว่า iCloud Private Relay และเบราว์เซอร์ที่อาศัย proxy หรือ Tor ยังช่วยให้ปลอดภัย แต่ความจริงคือช่องโหว่นี้ตัดทะลุชั้นป้องกันทั้งหมด เพราะมันทำงานในระดับที่อยู่ต่ำกว่าตัวเบราว์เซอร์และพร็อกซี Private Relay ถูกออกแบบให้ป้องกัน IP address เฉพาะใน Safari โดยแบ่งทราฟฟิกระหว่างรีเลย์สองตัวเพื่อแยกตัวตนของผู้ใช้และเว็บไซต์ที่ไปเยี่ยมชม อย่างไรก็ตาม ทราฟฟิกจาก DNS prefetching, WebAuthn passkey และ WebTransport ไม่ถือว่าเป็นส่วนหนึ่งของการโหลดหน้าเว็บตามปกติ จึงไม่ถูกครอบคลุมโดยกลไกป้องกันนั้น เมื่อคำขอออกจากระดับระบบปฏิบัติการโดยตรง ไม่ว่าจะเป็น Private Relay หรือ proxy ในเบราว์เซอร์ก็ไม่อาจเห็นหรือแทรกแซงทราฟฟิก ทำให้ความปลอดภัยเบราว์เซอร์ Mac และ iOS ที่พึ่งพา WKWebsiteDataStore.proxyConfigurations เสียสภาพทันที ที่น่าตกใจที่สุดคือ เบราว์เซอร์สาย Tor ที่ออกแบบโดยทีมต่างกันอย่างสิ้นเชิงก็โดนผลกระทบเดียวกัน เพราะทุกตัวพึ่งพา WebKit เป็นเอนจินแสดงผลเช่นกัน จากการทดสอบอิสระ มีการยืนยันแล้วว่า IP address จริงของอุปกรณ์จะถูกแสดงบนหน้าเว็บทดสอบ แม้จะเปิด Private Relay อยู่ นี่ไม่ใช่การโจมตีทฤษฎีบนกระดาษ แต่คือช่องโหว่ที่ใช้ได้จริงในโลกออนไลน์ ใครก็ตามที่ควบคุมเว็บไซต์ที่คุณเข้าได้ ก็สามารถฝังโค้ดทดสอบเพื่อเปิดโปง IP และ DNS ของคุณได้ในทันที ผู้เขียนมองว่าเมื่อกลไกป้องกันที่แอปเปิลโฆษณาหนักถูกบายพาสได้ง่ายขนาดนี้ ผู้ใช้ควรลดความไว้วางใจในคำว่า "แค่เปิดแล้วปลอดภัย" ลงอย่างมาก

วิธีตรวจว่าคุณเสี่ยง IP address รั่ว และแนวทางป้องกันตัวเองวันนี้

ข่าวดีเพียงเล็กน้อยท่ามกลางสถานการณ์นี้คือ นักวิจัยได้เปิดเว็บทดสอบให้ผู้ใช้ลองตรวจเองได้ว่าระบบของตนรั่วหรือไม่ พวกเขาสร้างหน้าเว็บที่ leaks.psylo.app เพื่อให้ผู้ใช้ iOS และ macOS เข้าไปดูว่าเบราว์เซอร์หรือการตั้งค่า Private Relay ของตนทำให้ IP address หรือข้อมูล DNS หลุดออกมาหรือเปล่า ไม่ว่าจะใช้เครื่องมือ privacy ใดอยู่ก็ตาม จากการทดสอบของสื่อเทคโนโลยี มีรายงานว่าหน้านี้สามารถแสดง IP จริงของอุปกรณ์ที่เปิด Private Relay แล้วได้อย่างชัดเจน จากมุมผู้เขียน การไม่เข้าไปตรวจเทสถือเป็นการปล่อยให้ตัวเองเดินในความมืด เพราะผู้ใช้ไม่มีวิธีอื่นจะรู้เลยว่าฟีเจอร์ที่ตนเปิดอยู่ทำงานอย่างที่เชื่อหรือไม่ เว็บทดสอบนี้จึงควรถูกใช้เป็นจุดเริ่มต้นของ hygiene ด้านความเป็นส่วนตัวใหม่ของผู้ใช้ Apple ทุกคน เข้าไปดูให้แน่ใจว่าเบราว์เซอร์ที่ใช้ประจำโดยเฉพาะเบราว์เซอร์ Mac กับ iOS ที่อ้างว่าปลอดภัยนั้นมีพฤติกรรมอย่างไร แล้วค่อยตัดสินใจว่าจะปรับเปลี่ยนเครื่องมือหรือการตั้งค่าอย่างไรต่อไป

1. เปิดเบราว์เซอร์บน iOS หรือ macOS ที่ใช้ประจำ และปิดแอปอื่นที่อาจมี proxy หรือ VPN ซ้อนทับ
2. เข้าเว็บ leaks.psylo.app แล้วสังเกตว่าหน้าเว็บแสดง IP address และข้อมูล DNS ที่ตรงกับการเชื่อมต่อจริงของคุณหรือไม่
3. ทดสอบซ้ำขณะเปิด iCloud Private Relay และระหว่างใช้เบราว์เซอร์สาย privacy หรือ Tor เพื่อตรวจว่าฟีเจอร์ที่เชื่อถืออยู่สามารถกันการรั่วไหลได้เพียงใด

ระหว่างรอแพตช์จากแอปเปิล: กลยุทธ์ป้องกันตัวแบบลงมือทำได้ทันที

สถานะปัจจุบันคือช่องโหว่เหล่านี้ยังไม่ได้ถูกแพตช์ในระดับระบบปฏิบัติการ นักวิจัยจึงเลือกออกมาตรการกันเองก่อน เบราว์เซอร์ Psylo ได้ปล่อยเวอร์ชันที่บล็อก dns-prefetch hints และปิด WebTransport กับ WebAuthn เป็นค่าเริ่มต้น พร้อมเปิดให้ผู้ใช้เปิดใช้งานกลับสำหรับบางเว็บไซต์เองเมื่อจำเป็น สำหรับ Onion Browser มีข้อยกเว้นที่น่าสนใจคือเมื่อเลือกระดับ Silver จะเปิด WebKit Lockdown Mode ที่ปิด WebTransport และอุดช่องโหว่เส้นทางนั้นได้ แต่ค่าเริ่มต้นยังคงเปิดอยู่และยังเสี่ยงต่ออีกสองช่องโหว่ คำแนะนำสำคัญที่สุดจากผู้เขียนคือ หันมาใช้ system-wide VPN แทนที่จะหวังพึ่งเว็บเบราว์เซอร์อย่างเดียว เพราะ VPN ที่ทำงานระดับระบบปฏิบัติการจะห่อหุ้มทราฟฟิกทั้งหมดของเครื่อง ทำให้ทราฟฟิกที่ WebKit ยิงออกมานอก proxy ยังต้องผ่านท่อ VPN อยู่ดี จึงไม่ส่ง IP จริงออกสู่ปลายทาง นี่คือคำพูดที่ควรจำไว้ว่า “A system-wide VPN sidesteps all three vulnerabilities entirely.” ในด้านฝั่งผู้ผลิตแพลตฟอร์ม แอปเปิลระบุผ่านช่องทางรายงานช่องโหว่ว่า "We're planning to address the issue you reported" พร้อมไทม์ไลน์ภายในสำหรับการออกแพตช์ในช่วงปลายปี และสื่อบางแห่งชี้ว่าครั้งนี้อาจต้องออกอัปเดตซอฟต์แวร์บนอุปกรณ์ ไม่ใช่แค่แก้ที่ฝั่งเซิร์ฟเวอร์ แต่จากประวัติการจัดการช่องโหว่ Hide My Email ที่ใช้เวลาราวหนึ่งปีจึงจะมีแพตช์ออก ผู้เขียนมองว่าผู้ใช้ควรถือว่าตัวเองต้องรับผิดชอบความปลอดภัยของตัวเองไปก่อน อย่ารอให้ผู้ผลิตแพลตฟอร์มทำทุกอย่างแทน สรุปแล้ว หากคุณใช้ iOS หรือ macOS เพื่อการทำงานหรือชีวิตส่วนตัว การปล่อยให้ IP และ DNS ของคุณไหลออกอย่างเงียบๆ คือการปล่อยให้คนอื่นมีแผนที่ชีวิตดิจิทัลของคุณไปทีละจุด ช่องโหว่ครั้งนี้คือสัญญาณเตือนชัดเจนว่า "ความเป็นส่วนตัว" ไม่ใช่คุณสมบัติที่ติดมากับแบรนด์ แต่เป็นผลจากการตัดสินใจของผู้ใช้ ตั้งแต่การเลือกใช้ VPN แบบ system-wide การตั้งค่าความปลอดภัยเบราว์เซอร์ Mac และ iOS ให้เหมาะสม ไปจนถึงการติดตามข่าวแพตช์อย่างใกล้ชิด หากคุณลงมือป้องกันวันนี้ คุณจะไม่ต้องรอให้ช่องโหว่ครั้งต่อไปมาเตือนอีกครั้งว่า IP address รั่ว iOS เป็นเรื่องใกล้ตัวกว่าที่คิด