Уязвимость в iCloud Private Relay раскрывает реальный IP-адрес

Исследователи Томми Мыск и Талал Хай Бакри обнаружили, что iCloud Private Relay не всегда скрывает реальный IP-адрес пользователя в Safari. Это затрагивает подписчиков платного сервиса iCloud+ и проявляется при использовании passkeys.

Для проверки они создали тестовый сайт, который показал: даже при включённом Private Relay сайт получает настоящий адрес. По данным Ferra, проблема связана с passkeys — когда сайт запрашивает такой ключ, система Apple обрабатывает запрос через отдельную системную службу, минуя Safari. Private Relay защищает только трафик браузера, поэтому запрос с ключом обходит защиту.

Уязвимость распространяется не только на Safari: все браузеры на iPhone используют движок WebKit, так что реальный IP-адрес может быть виден и в них. Apple подтвердила получение отчёта и заявила, что расследует инцидент.