Функция Private Relay от Apple может раскрывать ваш IP-адрес веб-сайтам и службам

Функция Private Relay от Apple призвана гарантировать, что ни один веб-сайт и даже сама компания не смогут увидеть ваш IP-адрес при просмотре сайтов в Safari. Однако, по словам исследователей безопасности Талала Хаджа Бакри (Talal Haj Bakry) и Томми Мыска (Tommy Mysk), она работает не всегда так, как задумано, из-за проблем с движком веб-браузера Apple — WebKit.

Одна из обнаруженных ими проблем связана с ключами доступа (passkeys), которые набирают популярность как новый безопасный метод входа в систему без пароля. Как поясняет издание 404Media, когда вы используете ключ доступа для входа, ваше устройство отправляет запрос аутентификации за пределами самого браузера. Private Relay — это функция iCloud+, привязанная к Safari, и она не защищает вашу личность на уровне всего устройства так, как это делает настоящий VPN. Поэтому, если вы входите на веб-сайт или в сервис с помощью ключа доступа в Safari, это может привести к утечке вашего IP-адреса.

Возможность утечки IP-адреса не ограничивается только Safari. Поскольку проблема кроется в WebKit, который используется во всех браузерах для iOS, ваш IP также может стать видимым для веб-сайтов и сервисов, если вы используете ключи доступа в других браузерах, ориентированных на конфиденциальность и анонимность, таких как OnionBrowser и собственный браузер исследователей — Psylo.

Исследователи сообщили в публикации на X, что они уже связались с разработчиками OnionBrowser и проекта Tor Project, который предоставляет используемую браузером сеть анонимизации, чтобы поделиться своими выводами и решениями. В компании Apple сообщили изданию 404Media, что уже изучают отчет исследователей, однако, как отметили сами исследователи в своем посте, на устранение проблемы у компании может уйти много времени. Они упомянули проблему с функцией Hide My Email в iCloud, обнаруженную другой исследовательской группой в середине 2025 года, например. Apple выпустила исправление, предотвращающее утечку реальных адресов электронной почты за псевдонимами, только год спустя.

Re: Responsible Disclosure

We found ourselves in a bit of a dilemma with these DNS and IP leaks in WebKit and how to handle them responsibly.

We first became aware of a DNS leak in Psylo in late June 2026 after a user reported it. During our investigation, we found two… https://t.co/5kFu0jtUsJ

— Mysk 🇨🇦🇩🇪 (@mysk_co) August 5, 2026