Приватність в iPhone: чому iCloud Private Relay не ховає вашу IP-адресу

Двоє фахівців із кібербезпеки, Томмі Миск і Талал Хадж Бакрі, виявили вразливості у WebKit — рушії, на якому працюють усі браузери на iPhone. Через ці прогалини функція iCloud Private Relay, яка має маскувати IP-адресу під час перегляду вебсторінок, фактично не виконує свого основного завдання.

Проблема пов'язана з технологією passkeys — альтернативою паролям для входу на вебсайти. Коли користувач авторизується через passkey, iPhone здійснює короткочасне пряме з'єднання з сайтом в обхід Safari. У цей момент сайт бачить справжню IP-адресу пристрою, яку Private Relay мав би приховати. Причому для цього сайту навіть не обов'язково реально підтримувати passkeys — достатньо лише імітувати таку підтримку.

Оскільки Apple забороняє використання сторонніх браузерних рушіїв на iPhone, уразливість поширюється і на інші браузери, зокрема OnionBrowser, призначений для доступу до мережі Tor з мобільних пристроїв. Комп'ютерна версія Tor Browser цієї проблеми не стосується.

Це не перший випадок, коли платні функції Apple для захисту приватності дають збій. Місяцем раніше ті ж дослідники виявили, що сервіс Hide My Email розкривав справжні електронні адреси користувачів, і компанія знала про це понад рік, не поспішаючи з виправленням.

Варто наголосити: iCloud Private Relay не є VPN. Він маскує IP-адресу лише в Safari, тоді як інші застосунки на телефоні продовжують передавати дані без жодного захисту. До моменту, поки Apple не випустить оновлення, користувачам, які дбають про приватність, радять покладатися на звичайні VPN-сервіси, а не на вбудований механізм Private Relay.