Уязвимость в iCloud Private Relay раскрывает реальный IP-адрес

Исследователи Томми Мыск и Талал Хай Бакри обнаружили, что функция iCloud Private Relay от Apple не всегда скрывает реальный IP-адрес пользователя. Платная опция доступна по подписке iCloud+ и должна защищать трафик Safari, но в некоторых случаях сайты всё равно узнают настоящие данные.

Эксперты создали тестовый сайт и проверили, видит ли он IP при включённой защите. Оказалось, что проблема кроется в passkeys — системных ключах для входа без пароля. Когда сайт запрашивает такой ключ, Apple обрабатывает запрос через отдельную службу, а не через браузер. Private Relay при этом защищает только Safari, поэтому запрос с ключом уходит в обход.

Уязвимость затрагивает не только Safari, но и все браузеры на iPhone, поскольку они используют один и тот же движок WebKit. Apple подтвердила, что получила отчёт исследователей, и заявила, что расследует инцидент.