Функция скрытия IP-адреса у Apple работает не всегда

Исследователи в области безопасности Томми Мыск и Талал Хай Бакри нашли уязвимость в функции iCloud Private Relay Apple. Этот сервис, доступный по платной подписке iCloud+, должен скрывать реальный IP-адрес пользователя при использовании Safari. Однако оказалось, что в некоторых случаях сайты… всё равно могут узнать настоящий IP.
Исследователи создали тестовый сайт, с помощью которого можно проверить, виден ли реальный IP. Их тесты показали, что даже при включённом Private Relay сайт получает настоящий адрес.

Проблема связана с так называемыми passkeys. Когда сайт запрашивает такой ключ, система Apple обрабатывает этот запрос не через браузер Safari, а через отдельную системную службу. А Private Relay защищает только трафик в Safari. Получается, что запрос с ключом проходит мимо защиты, и сайт видит реальный адрес пользователя.

Уязвимость касается не только Safari, но и любых браузеров на iPhone, потому что все они используют один и тот же движок WebKit.

Apple уже подтвердила получение отчёта и заявила, что расследует инцидент.