Платная функция защиты Safari от Apple, которая обещает скрывать ваш IP-адрес, работает не всегда, как утверждают исследователи безопасности Томми Мыск (Tommy Mysk) и Талал Хадж Бакри (Talal Haj Bakry). Выяснилось, что iCloud Private Relay может раскрыть ваш реальный IP веб-сайтам, которые используют или притворяются, что используют ключи доступа (passkeys).
iCloud Private Relay — это услуга, входящая в платные тарифные планы iCloud+. Она призвана скрывать вашу информацию об IP и DNS при просмотре веб-страниц через Safari, однако это не VPN, маскирующий весь трафик с устройства. Ключи доступа используют стандарт WebAuthn, который хранит закрытый ключ на вашем устройстве, а не в браузере Safari. Запрос, который система отправляет на веб-сайт, не защищен Private Relay и может раскрыть ваш IP-адрес.
WebKit передает процедуры WebAuthn службе учетных данных операционной системы, которая сама отправляет HTTPS-запрос напрямую с устройства, ничего не зная о каком-либо прокси, настроенном хост-приложением. Страница может установить rpId для хоста по своему выбору, и запрос (fetch) срабатывает даже без участия пользователя: с параметром mediation: «conditional», причем пользовательский интерфейс вообще не появляется. […]
Поскольку запрос отправляется службой учетных данных операционной системы, а не Safari, он никогда не попадает на замаскированный маршрут Private Relay. Сервер назначения в любом случае видит реальный IP-адрес устройства.
Злоумышленник, желающий узнать чей-либо защищенный IP, может сделать это, создав веб-сайт, использующий WebAuthn. При этом не появляется никаких видимых запросов на использование ключа доступа или каких-либо других признаков того, что в фоновом режиме осуществлялся доступ к IP-адресу.
Исследователи также обнаружили еще две функции WebKit, способные раскрывать IP-адреса и данные DNS. Предварительная выборка DNS (DNS prefetching, добавлена в iOS 26) раскрывает реальные DNS-серверы пользователя, в то время как WebTransport (добавлен в iOS 26.4) может раскрыть IP-адрес.
В компании Apple сообщили изданию 404 Media, что изучают этот отчет.
Мыск и Хадж Бакри создали сайт, позволяющий проверить, не утекает ли ваш IP-адрес через сервис Apple. Поскольку проблема заложена в саму работу WebKit, ей подвержены и некоторые сторонние браузеры. Apple потребуется решить эту проблему, а тем временем пользователи могут использовать VPN для дополнительной защиты.
