Obietnica iCloud Private Relay była jasna: ukryć Twój prawdziwy adres IP podczas przeglądania stron internetowych w Safari, aby strony internetowe nie mogły Cię śledzić. Jednak najnowsze badania wykazały, że ta ochrona nie zawsze jest skuteczna. Grupa ekspertów ds. bezpieczeństwa odkryła kilka sposobów na ujawnienie Twojego adresu IP , nawet po włączeniu usługi. Problem jest poważniejszy, niż się wydaje, ponieważ dotyczy wszystkich przeglądarek w systemach iOS i macOS i już wzbudził poważne obawy użytkowników.
Badacze Tommy Mysk i Talal Haj Bakry, znani z analiz prywatności, opublikowali raport opisujący trzy luki w WebKit , silniku używanym przez wszystkie przeglądarki w systemie iOS. Luki te umożliwiają złośliwym witrynom uzyskanie prawdziwego adresu IP użytkownika bez jego wiedzy, całkowicie omijając tunel prywatności Private Relay. Informacja ta rozprzestrzeniła się w ostatnich godzinach, a Apple już potwierdziło, że bada ten problem, choć nie podało harmonogramu jego rozwiązania.
Źródło problemu: hasła i inne sposoby ucieczki
Najpoważniejszą i najbardziej istotną wadą dla przeciętnego użytkownika są klucze dostępu, czyli coraz popularniejszy system uwierzytelniania bez hasła . Gdy strona internetowa żąda klucza dostępu, żądanie nie jest obsługiwane przez przeglądarkę Safari; zamiast tego system operacyjny urządzenia przetwarza je bezpośrednio na poziomie systemowym. Ten proces, wykorzystujący standard WebAuthn, przebiega poza tunelem prywatności tworzonym przez Private Relay, co oznacza, że strona internetowa wysyłająca żądanie może łatwo zobaczyć prawdziwy adres IP urządzenia.
Kwestia ta jest szczególnie drażliwa, ponieważ, jak wskazują badacze, każda strona internetowa może symulować obsługę haseł, aby wymusić to żądanie i uzyskać adres IP odwiedzającego. Nie jest wymagana żadna interakcja użytkownika, co czyni to ukrytym backdoorem do śledzenia i identyfikacji. Co więcej, badacze udokumentowali dwie dodatkowe luki w WebKit , które pogarszają sytuację: prefetching DNS, który filtruje zapytania do systemu nazw domen (DNS), oraz WebTransport, protokół bezpośredniego połączenia, który również omija serwer proxy.
Mysk i Haj Bakry udostępnili testową stronę internetową leaks.psylo.app, na której każdy może sprawdzić, czy jego adres IP jest wyciekany, mimo włączonego Private Relay. Testy przeprowadzone na tej stronie przez dziennikarzy 404 Media potwierdziły, że narzędzie wyświetlało prawdziwy adres IP użytkownika, który teoretycznie był chroniony przez usługę Apple.
Zasięg w ekosystemie iOS i poza nim
Jedną z osobliwości tego problemu jest to, że dotyczy on nie tylko przeglądarki Safari. Zgodnie z polityką App Store, wszystkie przeglądarki dostępne na iOS , takie jak Chrome, Firefox i Brave, muszą korzystać z silnika WebKit. Oznacza to, że luka dotyczy praktycznie każdej przeglądarki w systemie, w tym przeglądarek nastawionych na prywatność, takich jak Onion Browser, przeglądarka łącząca się z siecią Tor. Badacze potwierdzili, że przeglądarka ta również jest narażona na wycieki adresów IP i skontaktowali się już z jej twórcami w celu znalezienia rozwiązania.
Ta sytuacja na nowo rozpaliła debatę na temat natury usługi iCloud Private Relay. W przeciwieństwie do tradycyjnej sieci VPN, która chroni cały ruch sieciowy na urządzeniu na poziomie systemowym, usługa Private Relay działa tylko na ruchu przechodzącym przez Safari. Ta często pomijana różnica leży u podstaw obecnego problemu. Eksperci twierdzą, że usługa tego typu nie powinna być traktowana jako substytut pełnoprawnej sieci VPN , ponieważ jej zakres jest znacznie bardziej ograniczony, niż sądzi wielu użytkowników.
W Europie i Hiszpanii sytuacja jest szczególnie istotna. Prywatność jest podstawowym prawem chronionym przez Ogólne Rozporządzenie o Ochronie Danych (RODO), a Hiszpańska Agencja Ochrony Danych (AEPD) jest jednym z organów najaktywniej monitorujących przestrzeganie tych przepisów. Niepowodzenie tego rodzaju w usłudze reklamowanej właśnie jako bastion prywatności może mieć konsekwencje prawne , zwłaszcza jeśli zostanie wykazane, że funkcjonalność ta nie zapewnia obiecanego poziomu ochrony.
Odpowiedź i zalecenia Apple
Firma Apple potwierdziła serwisowi 404 Media, że bada raport badaczy, choć nie podała konkretnej daty wprowadzenia poprawki. Na portalu raportowania bezpieczeństwa, z którego korzystają badacze, status problemu wskazuje, że poprawka jest planowana na jesień 2026 roku. Jednak wcześniejsze doświadczenia z podobną luką w usłudze Hide My Email, która również ujawniła dane użytkowników i której usunięcie zajęło ponad rok, budzą wątpliwości co do szybkości reakcji.
Tymczasem jedynym sposobem na pełną ochronę adresu IP w systemie iOS jest korzystanie z sieci VPN na poziomie systemu . Usługi takie jak ProtonVPN, Mullvad czy WireGuard mogą chronić cały ruch urządzenia, w tym żądania spoza przeglądarki, takie jak te związane z kluczami dostępu. Badacze potwierdzają, że tradycyjna sieć VPN chroni cały ruch urządzenia, w tym żądania kluczy dostępu, które wymykają się tunelowi prywatności.
Społeczność zajmująca się bezpieczeństwem już skupiła swoją uwagę na tym problemie i słusznie. Wyciek prawdziwych adresów IP mógłby umożliwić sieciom reklamowym i usługom śledzącym powiązanie tożsamości użytkownika z jego aktywnością w sieci, całkowicie podważając cel działania Private Relay. Chociaż luka ta nie została jak dotąd wykorzystana na masową skalę, sam fakt istnienia strony demonstracyjnej i potwierdzenia problemu przez międzynarodowe media podkreśla powagę sytuacji.
Podsumowując, należy pamiętać, że ten incydent nie neguje całkowicie użyteczności funkcji iCloud Private Relay. Pozostała część przeglądania w Safari pozostaje chroniona przez system podwójnego przekazywania, który uniemożliwia Apple i witrynom internetowym korelowanie adresu IP z aktywnością. Jednak istnienie tych luk, szczególnie tych związanych z kluczami dostępu, pokazuje, że prywatność cyfrowa to nieustanna walka, w której pozornie solidne rozwiązania mogą mieć słabe punkty. Użytkownicy powinni być świadomi tych ograniczeń i, jeśli postrzegane przez nich zagrożenie jest wysokie, rozważyć skorzystanie z dodatkowych narzędzi, takich jak VPN, aby zapewnić sobie prawdziwie kompleksową ochronę. Zaufanie do obietnic dotyczących prywatności powinno opierać się na dogłębnym zrozumieniu działania tych technologii i ich ograniczeń.