Исследователи сообщили об утечке IP-адреса через Apple Private Relay
Исследователи Талал Хадж Бакри и Томми Миск сообщили, что функция Apple Private Relay может раскрывать реальный IP-адрес пользователя при просмотре сайтов в Safari. По их данным, обход защиты связан с тремя возможностями движка WebKit, который используется всеми браузерами в iOS. Для проверки они запустили отдельный сайт, а TechCrunch подтвердил в тесте, что тот определил реальный IP-адрес при включённом Private Relay.
Защита действует только в Safari
Private Relay — опциональная функция для подписчиков iCloud+. Apple позиционирует её как способ скрывать IP-адрес при веб-сёрфинге в Safari. При этом сервис не является VPN: он не защищает IP-адрес на уровне всей операционной системы и работает только во время использования Safari.
Исследователи связывают обнаруженный обход не с настройками пользователя, а с особенностями WebKit. Это важно для iOS, поскольку данный браузерный движок лежит в основе всех браузеров на платформе, а не только Safari.
Проверка и позиция исследователей
Хадж Бакри и Миск опубликовали описание проблемы во вторник и открыли сайт для самостоятельной проверки утечки. В тот же день TechCrunch воспользовался сервисом и получил реальный IP-адрес своего устройства, несмотря на использование Private Relay.
Миск написал в X, что команда решила не направлять отчёт Apple. В качестве причины он назвал прошлый опыт взаимодействия с компанией: длительные задержки, непоследовательную коммуникацию и случаи, когда влияние проблемы, по его словам, отрицалось. Apple не предоставила комментарий на момент публикации материала TechCrunch.
Что учитывать организациям
История дополняет вопросы к приватным функциям экосистемы Apple: Баг в Hide My Email ставит под вопрос приватность Apple показывает, что настройки защиты идентификаторов и адресов требуют отдельной проверки в каждом сценарии использования.
Для компаний практический вывод состоит в том, чтобы не приравнивать Private Relay к системному VPN и учитывать его ограниченную область действия. Если доступ к сервисам или правила безопасности зависят от скрытия IP-адреса, стоит отдельно проверить работу веб-приложений в Safari и браузерах iOS.
Разработчики браузера Psylo, в котором работает команда исследователей, заявили, что уже добавили меры, предотвращающие такую утечку IP-адресов в Psylo. Публичное описание проблемы и тестовый сайт позволяют оценить, проявляется ли обход в конкретной конфигурации.