Сайти можуть дізнатися вашу IP-адресу попри iCloud Private Relay

Дослідники з безпеки Томмі Миск і Талал Хадж Бакрі виявили низку вразливостей у рушії WebKit, які дозволяють сайтам визначати реальну IP-адресу користувачів навіть за ввімкненого iCloud Private Relay. Apple підтвердила, що вже розслідує проблему.

Passkeys дозволяють обійти Private Relay

iCloud Private Relay входить до підписки iCloud+ і призначений для приховування IP-адреси користувача під час перегляду сайтів у Safari. На відміну від VPN, ця функція захищає лише трафік браузера, а не всі мережеві з'єднання пристрою. 

Саме ця особливість і стала однією з причин виявленої вразливості.

За словами дослідників, проблема пов'язана з тим, як працюють Passkeys на основі стандарту WebAuthn. Під час автентифікації мережевий запит надсилає не Safari, а системна служба облікових даних iOS. Через це запит оминає Private Relay, і сайт отримує реальну IP-адресу пристрою.

За словами Томмі Миска, будь-який сайт, який підтримує або лише імітує підтримку Passkeys, може визначити справжню IP-адресу користувача, навіть якщо той увімкнув iCloud Private Relay. 

Дослідники також створили окремий сайт, на якому можна перевірити, чи вразливий конкретний пристрій.

Проблема зачіпає й браузери для Tor

Дослідники також знайшли ще дві особливості WebKit, які можуть розкривати мережеві дані користувача. Одна з них може видавати інформацію про DNS-сервери, які використовує пристрій, а інша — його реальну IP-адресу.

Оскільки всі браузери на iOS працюють на рушії WebKit, проблема також впливає щонайменше на OnionBrowser — браузер для анонімного перегляду вебсторінок через мережу Tor.Водночас офіційний Tor Browser від Tor Project ця вразливість не зачіпає. 

За словами розробника OnionBrowser Майка Тайгаса, дві з трьох проблем пов'язані безпосередньо з архітектурою iOS і WebKit, тому виправити їх може лише Apple.

Apple розслідує проблему

Apple повідомила виданню 404 Media, що розслідує звіт дослідників. Це вже друга проблема за останній час, яка стосується платних функцій конфіденційності компанії. 

Минулого місяця 404 Media повідомило про помилку в сервісі Hide My Email, яка розкривала справжні адреси електронної пошти користувачів. За даними видання, Apple знала про цю проблему понад рік, перш ніж випустила виправлення.