Private Relay входит в подписку iCloud+ и маскирует IP-адрес только в Safari. По замыслу Apple, такие данные, как DNS-записи и IP, не должны быть доступны ни интернет-провайдеру, ни посещаемым сайтам. Однако исследователи выяснили, что схема ломается на этапе авторизации с помощью passkeys — стандарта WebAuthn, который считается безопасной заменой паролей.
Когда пользователь подтверждает вход на сайте через passkey, запрос отправляется не из браузера, а из системного сервиса учётных данных операционной системы. Этот запрос не проходит через прокси Private Relay. В результате сервер, поддерживающий passkeys, видит реальный IP-адрес устройства. Исследователи создали сайт для проверки: в тестах 404 Media он возвращал реальный IP пользователя, который должен был быть скрыт.
Проблема не ограничивается Safari. Поскольку все браузеры в iOS обязаны использовать браузерный движок WebKit, уязвимость распространяется и на сторонние браузеры. В частности, под удар попал OnionBrowser — приложение для доступа к сети Tor. Трафик Tor проходит через несколько серверов в разных странах, но из-за той же особенности запросы passkeys могут выдать реальный IP. При этом официальный Tor Browser от проекта Tor проблема не затрагивает.
Уязвимость также раскрывает IP пользователей OnionBrowser — iOS-браузера для анонимной сети Tor.
Отдельно исследователи отмечают, что Private Relay не является полноценным VPN. VPN обычно работает на уровне операционной системы и маршрутизирует весь трафик, тогда как Private Relay действует только для Safari. Именно эта архитектура и стала причиной утечки.
Это уже второй случай, когда платные функции конфиденциальности Apple подводят пользователей. В прошлом месяце 404 Media сообщила о баге в функции Hide My Email, который раскрывал настоящие адреса электронной почты. По данным издания, Apple знала об этой проблеме более года перед исправлением. В случае с Private Relay Apple заявила, что изучает отчёт исследователей, но сроки устранения не названы.
Пока Apple не выпустила исправление, пользователям Private Relay стоит учитывать, что сайты, поддерживающие passkeys, могут видеть их реальный IP. Для полной анонимности исследователи рекомендуют использовать VPN или официальный Tor Browser, хотя и они не гарантируют защиту от всех угроз.
