Що саме заявили дослідники
Security-дослідники Томмі Миск і Талал Хадж Бакрі стверджують, що платна функція Apple iCloud Private Relay не завжди виконує свою основну задачу — приховувати реальну IP-адресу користувача. За їхніми словами, проблема виникає на вебсайтах, які працюють із passkeys або лише створюють видимість їх використання.
iCloud Private Relay входить до підписки iCloud+ і має маскувати IP та DNS-дані під час роботи в Safari. Водночас це не VPN, тобто сервіс не приховує весь трафік пристрою. Саме ця різниця, за словами дослідників, важлива для розуміння масштабу проблеми.
Як це може спрацьовувати
Дослідники пов’язують витік із стандартом WebAuthn, який лежить в основі passkeys. На відміну від звичайних запитів браузера, ці дії можуть оброблятися системною службою облікових даних, а не самим Safari. У такому разі запит до сайту може піти напряму з пристрою і не врахувати проксі, налаштований через Private Relay.
За описом дослідників, сторінка може вказати обраний нею rpId, а мережевий запит може відбутися навіть без явної взаємодії користувача. Вони також кажуть, що у режимі conditional інтерфейс може взагалі не з’являтися, тож людина може не помітити, що в фоновому режимі вже був доступ до IP-адреси.
Що ще може розкриватися
Окрім IP-адреси, дослідники вказують і на інші можливі витоки. За їхніми словами, в окремих випадках iOS 26 може показувати реальні DNS-сервери користувача, а WebTransport, доданий у iOS 26.4, здатен розкрити IP-адресу.
У матеріалі також зазначено, що через архітектуру WebKit частина сторонніх браузерів може бути вразливою до тієї самої проблеми. Тобто мова не лише про Safari як окремий продукт, а про ширший механізм, на якому він працює.
Що відомо про реакцію Apple
За даними MacRumors, про проблему повідомили виданню 404 Media, а Apple заявили, що вивчають звіт. Це означає, що на момент публікації публічного технічного виправлення ще не було.
Дослідники також створили сайт, який дає змогу перевірити, чи справді сервіс Apple розкриває IP-адресу в конкретному випадку. Утім, як саме Apple планує усунути проблему, наразі невідомо.
Що це означає для користувачів
Якщо висновки дослідників підтвердяться, ризик стосуватиметься людей, які розраховують на Private Relay як на додатковий рівень приватності в Safari. Особливо це важливо для тих, хто користується passkeys або заходить на сайти, де такі механізми можуть запускатися у фоновому режимі.
У MacRumors нагадують, що через цю проблему користувачі можуть тимчасово розглядати VPN як більш надійний варіант захисту мережевих даних. Водночас сам факт витоку ще потребує офіційного підтвердження та технічного виправлення з боку Apple.
