Функция скрытия IP-адреса у Apple не всегда работает

Исследователи в области кибербезопасности Томми Мыск и Талал Хай Бакри обнаружили уязвимость в сервисе iCloud Private Relay от Apple. Этот платный сервис, предназначенный для сокрытия реального IP-адреса пользователя при использовании браузера Safari, не всегда выполняет свою функцию. В некоторых случаях сайты могут определить настоящий IP-адрес пользователя. Об этом пишет портал Ferra.

Для проверки этой уязвимости исследователи создали тестовый сайт, который продемонстрировал, что даже при активированном Private Relay сайт может получить реальный адрес.

Проблема возникает из-за passkeys. Когда сайт запрашивает такой ключ, Apple обрабатывает запрос через отдельную системную службу, а не через браузер Safari. Поскольку Private Relay защищает только трафик в Safari, запрос с ключом проходит мимо защиты, что позволяет сайту видеть реальный адрес пользователя.

Эта уязвимость затрагивает не только Safari, но и все браузеры на iPhone, так как они используют один и тот же движок WebKit.

Apple подтвердила получение отчета и начала расследование инцидента.