Обещанието на iCloud Private Relay беше ясно: да скрие истинския ви IP адрес, докато сърфирате със Safari, така че уебсайтовете да не могат да ви проследяват. Последните проучвания обаче разкриха, че тази защита не винаги е ефективна. Група експерти по сигурността откри няколко начина, по които вашият IP адрес може да бъде разкрит , дори когато услугата е активирана. Проблемът е по-сериозен, отколкото изглежда, защото засяга всички браузъри на iOS и macOS и вече е породил значителна загриженост сред потребителите.
Изследователите Томи Миск и Талал Хадж Бакри, известни със своите анализи на поверителността, публикуваха доклад, в който подробно описват три недостатъка в WebKit , двигателя, използван от всички браузъри на iOS. Тези недостатъци позволяват на злонамерен уебсайт да получи вашия истински IP адрес без ваше знание, като напълно заобикаля тунела за поверителност Private Relay. Новината стана вирусна през последните часове и Apple вече потвърди, че разследва проблема, въпреки че не е предоставила срок за отстраняването му.
Произходът на проблема: пароли и други пътища за бягство
Най-сериозният и важен недостатък за средностатистическия потребител се отнася до паролите (pass-key) - все по-популярната система за удостоверяване без парола . Когато уебсайт поиска парола, заявката не се обработва в браузъра Safari; вместо това операционната система на устройството я обработва директно на системно ниво. Този процес, който използва стандарта WebAuthn, се изпълнява извън тунела за поверителност, създаден от Private Relay, което означава, че уебсайтът, който отправя заявката, може лесно да види истинския IP адрес на устройството.
Проблемът е особено чувствителен, защото, както посочват изследователите, всеки уебсайт може да симулира поддръжка за пароли, за да наложи тази заявка и да получи IP адреса на посетителя. Не се изисква взаимодействие с потребителя, което прави това тиха задна вратичка за проследяване и идентификация. Освен това, изследователите са документирали два допълнителни недостатъка в WebKit , които изострят ситуацията: предварително извличане на DNS, което филтрира заявките към системата за имена на домейни, и WebTransport, протокол за директна връзка, който също заобикаля проксито.
Миск и Хадж Бакри са предоставили тестов уебсайт, leaks.psylo.app, където всеки може да провери дали неговият IP адрес е изтекъл, въпреки че е активирана функцията Private Relay. Тестове, проведени от журналисти на 404 Media на този сайт, потвърдиха, че инструментът показва истинския IP адрес на потребител, който на теория е бил защитен от услугата на Apple.
Достигане в екосистемата на iOS и отвъд нея
Една от особеностите на този проблем е, че той не засяга само Safari. Поради правилата на App Store, всички браузъри, достъпни за iOS , като Chrome, Firefox и Brave, са длъжни да използват WebKit енджин. Това означава, че уязвимостта се разпростира до почти всеки браузър в системата, включително опции, фокусирани върху поверителността, като Onion Browser, браузър, който се свързва с мрежата Tor. Изследователите потвърдиха, че този браузър също страда от изтичане на IP адреси и вече са се свързали с неговите разработчици, за да намерят решения.
Тази ситуация отново разпали дебата за естеството на iCloud Private Relay. За разлика от традиционната VPN, която защитава целия мрежов трафик на устройството на системно ниво, Private Relay действа само върху трафика, преминаващ през Safari. Тази често пренебрегвана разлика е в основата на настоящия проблем. Експертите настояват, че услуга като тази не трябва да се счита за заместител на пълноценна VPN , тъй като обхватът ѝ е много по-ограничен, отколкото много потребители смятат.
В Европа и Испания ситуацията е особено актуална. Поверителността е основно право, защитено от Общия регламент относно защитата на данните (ОРЗД), а Испанската агенция за защита на данните (AEPD) е един от органите, които най-активно следят за спазването на тези разпоредби. Провал от този характер в услуга, предлагана на пазара именно като бастион на поверителността, би могъл да има регулаторни последици , особено ако се докаже, че функционалността не предлага обещаното ниво на защита.
Отговорът и препоръките на Apple
Apple потвърди пред 404 Media, че проучва доклада на изследователите, въпреки че не е предоставила конкретна дата за отстраняване на проблема. В портала за отчитане на сигурността, използван от изследователите, състоянието на проблема показва, че е планирано отстраняване на проблема за есента на 2026 г. Въпреки това, миналият опит с подобен недостатък в услугата Hide My Email, който също разкри потребителски данни и отне повече от година за отстраняване, поражда съмнения относно скоростта на реакцията.
Междувременно, единственият начин да защитите напълно вашия IP адрес в iOS е да използвате VPN на системно ниво . Услуги като ProtonVPN, Mullvad или WireGuard, например, могат да защитят целия трафик на устройствата, включително заявки, произхождащи извън браузъра, като например тези, свързани с пароли. Изследователите потвърждават, че традиционната VPN защитава целия трафик на устройствата, включително заявките за пароли, които излизат от тунела за поверителност.
Общността за сигурност вече е съсредоточила вниманието си върху този проблем и с право. Изтичането на реални IP адреси може да позволи на рекламни мрежи и услуги за проследяване да свържат самоличността на потребителя с неговата активност при сърфиране, което напълно подкопава целта на Private Relay. Въпреки че уязвимостта досега не е била използвана в голям мащаб, самият факт, че съществува демонстрационен уебсайт и че международни медии са потвърдили проблема, подчертава сериозността на ситуацията.
В заключение е важно да се помни, че този инцидент не обезсилва напълно полезността на iCloud Private Relay. Останалата част от сърфирането ви през Safari остава защитена от системата за двойно реле, която не позволява на Apple и уебсайтовете да свържат вашия IP адрес с вашата активност. Съществуването на тези вратички, особено свързаните с паролите, обаче показва, че дигиталната поверителност е постоянно бойно поле, където привидно надеждните решения могат да имат слепи зони. Потребителите трябва да са наясно с тези ограничения и, ако възприеманата от тях заплаха е висока, да обмислят използването на допълнителни инструменти като VPN, за да осигурят наистина цялостна защита. Доверието в обещанията за поверителност трябва да се основава на реално разбиране за това как работят тези технологии и какви са техните ограничения.