Функцию Apple Private Relay, которая скрывает IP-адрес пользователя при просмотре сайтов через Safari, можно обойти из-за ряда уязвимостей. Это позволяет узнать реальный IP-адрес, который сервис должен скрывать.
О проблеме исследователи рассказали во вторник в блоге. Они также запустили сайт, где можно проверить, утекает ли настоящий IP-адрес даже при включённом Private Relay. TechCrunch сообщил, что проверил сервис и смог увидеть реальный IP-адрес редакции.
Ранее на проблему обратило внимание издание 404 Media.
Талал Хадж Бакри и Томми Мыск, обнаружившие уязвимость, написали, что причина связана с тремя функциями движка Apple WebKit. Он используется всеми браузерами в iOS. Private Relay доступен только подписчикам iCloud+ и не работает как VPN, который защищает IP-адрес на уровне всей системы. Сервис действует только в Safari.
В сообщении в X Мыск пояснил, почему исследователи не стали отправлять отчёт Apple. По его словам, «наш прошлый опыт работы с Apple показывает, что сообщение о такой проблеме привело бы к месяцам задержек, непоследовательной коммуникации, а в ряде случаев — к полному отрицанию её значимости».
Apple не ответила сразу на запрос о комментарии.
Мыск и его коллеги также разрабатывают приватный браузер Psylo. По их словам, в нём уже есть меры защиты, которые не дают утекать IP-адресам пользователей при работе через этот браузер.
Источник: TechCrunch, 404 Media, блог исследователей.
