В WebKit нашли обход iCloud Private Relay с раскрытием IP
Исследователи Талал Хадж Бакри и Томми Майск обнаружили, что iCloud Private Relay может раскрывать реальный IP-адрес пользователя. Проблема связана с тремя механизмами WebKit — DNS prefetching, WebAuthn Related Origin Requests и WebTransport — и затрагивает Safari, а также браузеры на WebKit в iOS, iPadOS и macOS.
iCloud Private Relay появился в iOS 15 и входит в подписку iCloud+. Сервис направляет веб-трафик Safari через два ретранслятора, чтобы ни одна сторона, включая Apple, не могла одновременно определить исходный адрес запроса и посещаемый сайт.
Как запросы обходят прокси
По данным исследователей, указанные функции WebKit не всегда используют настроенный браузером прокси и отправляют часть трафика непосредственно с устройства. В результате сайт может увидеть фактический сетевой адрес пользователя, несмотря на включённый Private Relay.
DNS prefetching разрешает доменные имена обычным DNS-путём устройства, а не через прокси. В случае WebAuthn Related Origin Requests системная служба учётных данных напрямую загружает файл проверки. WebTransport способен открыть прямое соединение по HTTP/3, также минуя прокси-маршрут.
Особый риск при использовании passkeys
WebAuthn применяется для входа на сайты с passkeys. Как сообщил Томми Майск, сайт может специально настроить этот API так, чтобы WebKit раскрыл реальный IP-адрес текущей браузерной сессии. Для этого не требуется взаимодействие пользователя и не требуется фактически пользоваться passkey.
Исследователи опубликовали демонстрационный сайт, позволяющий проверить возможную утечку. Они подчёркивают, что уязвимы не все браузеры: например, настольный Chrome не затронут. Подключение к VPN также снижает риск утечки.
Что это означает для организаций
Apple не дала немедленного комментария, однако сообщила 404 Media, что изучает отчёт. Это не первый вопрос к приватности Private Relay: вскоре после запуска сервиса в 2021 году FingerprintJS описывала механизм утечки IP через WebRTC. Риски браузерных утечек дополняют уязвимости Edge и критические 0-day в ICS и требуют учитывать не только настройки приватности, но и фактические сетевые запросы приложений.
Для бизнеса практический вывод прост: Private Relay не следует рассматривать как универсальную замену VPN. При защите сотрудников и чувствительных веб-сессий стоит проверять поведение используемых браузеров, учитывать механизмы WebKit и применять VPN там, где требуется скрыть исходный IP-адрес.