Apple naprawi lukę w iCloud Private Relay. Badacze pokazali, jak ujawnić prawdziwy adres IP

iCloud Private Relay od Apple to usługa, która od kilku lat stanowi jeden z głównych elementów ochrony prywatności dostępnych w ramach płatnej subskrypcji iCloud+. Badacze cyberbezpieczeństwa odkryli kilka mechanizmów w silniku WebKit pozwalających na ujawnienie rzeczywistego adresu IP użytkownika. Niestety całość mogła już zostać wykorzystana przez niektóre strony internetowe do pozyskiwania informacji, które teoretycznie powinny pozostać ukryte.

O odkryciu poinformowali specjaliści Talal Haj Bakry i Tommy Mysk, którzy wskazali trzy funkcje WebKit omijające ustawienia proxy na poziomie aplikacji. Chodzi o DNS Prefetching, WebAuthn Related Origin Requests oraz WebTransport. Ponieważ WebKit stanowi podstawę działania Safari oraz większości przeglądarek dostępnych w iOS, problem nie ogranicza się wyłącznie do jednej aplikacji.

Private Relay nie działa identycznie jak VPN. Ruch z przeglądarki Safari jest szyfrowany i przekazywany przez dwa niezależne serwery, dzięki czemu odwiedzane witryny nie powinny poznawać rzeczywistego adresu IP użytkownika. Natomiast Apple i partner obsługujący infrastrukturę również nie mają dostępu zarówno do adresu IP, jak i historii odwiedzanych stron. Rozwiązanie nie obejmuje jednak całego ruchu sieciowego na poziomie systemu operacyjnego, lecz wyłącznie wybrane połączenia realizowane przez Safari.

Najpoważniejszy problem

Najpoważniejszy problem dotyczy standardu WebAuthn odpowiedzialnego m.in. za obsługę kluczy dostępu Passkeys. Badacze wykazali, iż odpowiednio przygotowana strona internetowa może wywołać zapytanie Related Origin Request, które zostanie pobrane bezpośrednio przez usługę zarządzania poświadczeniami Apple z pominięciem mechanizmu Private Relay, a serwer odbiorcy otrzyma rzeczywisty adres IP użytkownika. Cały proces może odbywać się w tle bez wyświetlania dodatkowych komunikatów czy próśb o potwierdzenie.

iCloud Private Relay od Apple to usługa, która od kilku lat stanowi jeden z głównych elementów ochrony prywatności dostępnych w ramach płatnej subskrypcji iCloud+. Badacze cyberbezpieczeństwa odkryli kilka mechanizmów w silniku WebKit pozwalających na ujawnienie rzeczywistego adresu IP użytkownika. Niestety całość mogła już zostać wykorzystana przez niektóre strony internetowe do pozyskiwania informacji, które teoretycznie powinny pozostać ukryte.

Pozostałe dwa problemy dotyczą nowszych funkcji systemu. DNS Prefetching, obecny od iOS 26, może ujawniać wykorzystywane serwery DNS, z kolei WebTransport od wersji iOS 26.4 pozwala na tworzenie bezpośrednich połączeń HTTP/3, które również mogą zdradzić prawdziwy adres IP urządzenia. Badacze przygotowali demonstrację działania, a serwis 404 Media potwierdził skuteczność zaprezentowanej metody.

Luka dotyczy także przeglądarek nastawionych na prywatność, takich jak Onion Browser oraz Psylo, choć część z nich już wprowadziła ograniczenia wyłączające niektóre podatne funkcje.