Apple Private Relay может раскрывать настоящий IP-адрес пользователей Safari

Функция Apple iCloud Private Relay может раскрывать настоящий IP-адрес пользователя, хотя предназначена для его сокрытия при работе в Safari. Исследователи Талал Хадж Бакри и Томми Мыск связали утечку с тремя особенностями WebKit — браузерного движка, обязательного для всех браузеров на iOS.

Private Relay доступна подписчикам iCloud+ и направляет веб-трафик Safari через два раздельных узла, чтобы сайт не получал одновременно IP-адрес пользователя и адрес посещаемой страницы. Однако это не системный VPN: защита действует только для трафика Safari и не охватывает остальные приложения.

По данным исследователей, определённые функции WebKit позволяют странице установить прямое соединение в обход прокси Private Relay и получить реальный адрес устройства. Команда создала тестовую страницу, на которой пользователь может проверить наличие утечки. TechCrunch сообщил, что воспроизвёл проблему и увидел настоящий IP-адрес на устройстве с включённой функцией.

Авторы исследования не направили отчёт Apple до публичного раскрытия. Они объяснили это прежним опытом длительной и непоследовательной коммуникации с компанией. На момент публикации Apple не предоставила комментарий и не сообщила о выпуске исправления. Разработанный исследователями приватный браузер Psylo уже получил собственную защиту от описанного обхода.

Техническое описание трёх механизмов WebKit и примеры утечки опубликованы в блоге исследователей. До появления исправления пользователям, которым критично скрывать IP на уровне всей системы, не следует считать Private Relay полной заменой VPN.