iCloud Private Relay — это услуга, входящая в платные тарифы iCloud+. Она предназначена для скрытия вашего IP-адреса и DNS-информации при просмотре веб-страниц в Safari, однако это не VPN, который маскирует весь трафик с устройства. Пароли доступа (Passkeys) используют стандарт WebAuthn, который хранит закрытый ключ на вашем устройстве, а не в браузере Safari. Запрос, отправляемый системой на веб-сайт, не защищается Private Relay и может раскрыть ваш IP-адрес.
WebKit передает процедуры WebAuthn сервису учетных данных операционной системы, который самостоятельно отправляет HTTPS-запрос непосредственно с устройства, не зная о каком-либо прокси, настроенном в приложении. Страница может установить rpId на любой хост по своему выбору, и запрос выполняется даже без взаимодействия с пользователем: при mediation: “conditional” интерфейс не отображается. […]
Поскольку запрос отправляется сервисом учетных данных операционной системы, а не Safari, он никогда не попадает в прокси-путь Private Relay. Сервер назначения в любом случае видит реальный IP-адрес устройства.
Злоумышленник, желающий узнать защищенный IP-адрес пользователя, может создать веб-сайт, использующий WebAuthn. При этом не отображается видимый запрос на ввод пароля доступа и нет никаких других признаков того, что IP-адрес был получен в фоновом режиме.
Исследователи также обнаружили две другие функции WebKit, которые могут раскрывать IP-адреса и DNS-данные. DNS-предзагрузка (добавленная в iOS 26) раскрывает реальные DNS-серверы пользователя, а WebTransport (добавленный в iOS 26.4) может раскрыть IP-адрес.
Apple сообщила, что изучает этот отчет.
Mysk и Haj Bakry создали веб-сайт, позволяющий проверить, раскрывает ли ваш IP-адрес служба Apple. Поскольку проблема встроена в работу WebKit, некоторые сторонние браузеры также затронуты. Apple необходимо решить эту проблему, а пока пользователи могут выбрать VPN для дополнительной защиты.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Juli Clover
