Через помилку в WebKit. Apple Private Relay може розкривати IP-адресу користувачів

Про це пише видання Engadget.

Про проблему повідомили фахівці з кібербезпеки Талал Хадж Бакрі та Томмі Міск. За їхніми словами, витік може виникати під час входу на сайти за допомогою passkey — сучасного способу авторизації без пароля.

Пояснюється це тим, що під час використання passkey запит на підтвердження входу надсилається не через браузер. Private Relay працює лише в Safari як функція підписки iCloud+ і не захищає весь інтернет-трафік пристрою, як це робить VPN. Через це справжня IP-адреса може стати доступною для сайтів і сервісів.

Проблема стосується не лише Safari. Оскільки її джерелом є WebKit, який використовується всіма браузерами на iPhone та iPad, витік можливий і в інших браузерах на iOS, зокрема тих, що орієнтовані на конфіденційність, таких як OnionBrowser і Psylo.

Дослідники повідомили, що вже передали свої висновки та можливі способи усунення проблеми розробникам OnionBrowser і проєкту Tor. В Apple підтвердили виданню 404 Media, що перевіряють отриманий звіт.

Втім, виправлення може з’явитися не скоро. Дослідники нагадали про іншу проблему з функцією Hide My Email в iCloud. Її виявили ще в середині 2025 року, але компанія випустила оновлення, яке усунуло витік справжніх адрес електронної пошти, лише приблизно через рік.