Функция Apple Private Relay, призванная скрывать IP-адреса пользователей во время работы в браузере Safari, оказалась уязвима. Исследователи информационной безопасности опубликовали отчет, в котором указали на критические недочеты, позволяющие деанонимизировать пользователя. Специалисты также запустили демонстрационный сайт, где любой желающий может проверить, происходит ли утечка его реального адреса при активированной защите.
Суть проблемы и причины утечки
Согласно данным издания 404 Media, эксперты Талал Хадж Бакри и Томми Мыск выявили проблему в трех функциях движка WebKit. Именно этот движок лежит в основе всех браузеров для мобильной операционной системы iOS, что делает уязвимость особенно масштабной.
Важно помнить, что функция Apple Private Relay входит в подписку iCloud+ и функционирует исключительно внутри Safari. В отличие от полноценных VPN-сервисов, которые перенаправляют весь системный трафик, инструмент Apple работает более избирательно, что, как выяснилось, оставляет лазейки для утечек.
Решение исследователей и позиция компании
Журналисты TechCrunch протестировали ресурс, созданный исследователями, и подтвердили: реальный IP-адрес устройства успешно определяется, несмотря на включенную защиту. Томми Мыск в своем аккаунте в соцсети X пояснил, почему команда решила предать огласке проблему без предварительного уведомления Apple. По их словам, предыдущие попытки сотрудничества с корпорацией приводили к многомесячным задержкам, формальным отпискам и игнорированию серьезности уязвимостей.
На текущий момент представители Apple не дали официальных комментариев по ситуации. При этом Мыск и его коллеги, работающие над созданием собственного конфиденциального браузера Psylo, сообщили, что уже успешно реализовали защитные механизмы в своем продукте, исключающие подобные утечки.
