Κενό ασφαλείας στο iCloud Private Relay εκθέτει την πραγματική διεύθυνση IP των χρηστών

Το iCloud Private Relay, η επί πληρωμή δυνατότητα της Apple για το Safari που υπόσχεται να κρύβει τη διεύθυνση IP του χρήστη, δεν το καταφέρνει πάντα. Σύμφωνα με τους ερευνητές ασφαλείας Tommy Mysk και Talal Haj Bakry, η υπηρεσία μπορεί να αποκαλύψει την πραγματική διεύθυνση IP σε ιστοσελίδες που χρησιμοποιούν, ή προσποιούνται ότι χρησιμοποιούν, passkeys.

Το iCloud Private Relay περιλαμβάνεται στα επί πληρωμή πλάνα iCloud+ και υποτίθεται ότι αποκρύπτει τη διεύθυνση IP και τα δεδομένα DNS κατά την περιήγηση μέσω Safari. Δεν πρόκειται όμως για VPN που καλύπτει ολόκληρη την κίνηση της συσκευής, και εκεί ακριβώς βρίσκεται το κενό. Τα passkeys στηρίζονται στο πρότυπο WebAuthn, το οποίο αποθηκεύει ένα ιδιωτικό κλειδί στη συσκευή και όχι στον browser. Το αίτημα που στέλνει το σύστημα στον ιστότοπο δεν περνά από το Private Relay και μπορεί έτσι να εκθέσει τη διεύθυνση IP.

Ο λόγος είναι ο τρόπος με τον οποίο το WebKit χειρίζεται τις διαδικασίες WebAuthn: τις αναθέτει στην υπηρεσία διαπιστευτηρίων του λειτουργικού συστήματος, η οποία στέλνει το αίτημα HTTPS απευθείας από τη συσκευή, χωρίς να γνωρίζει τυχόν proxy που έχει ρυθμίσει η εφαρμογή. Καθώς το αίτημα δεν ξεκινά από το Safari, δεν διέρχεται ποτέ από τη διαδρομή του Private Relay, και ο διακομιστής προορισμού βλέπει την πραγματική διεύθυνση IP της συσκευής.

Το πρόβλημα γίνεται πιο σοβαρό επειδή η επίθεση μπορεί να είναι εντελώς αόρατη. Μια σελίδα μπορεί να ορίσει το rpId σε έναν host της επιλογής της, ενώ με τη ρύθμιση mediation: “conditional” το αίτημα εκτελείται χωρίς καμία αλληλεπίδραση του χρήστη και χωρίς να εμφανιστεί κανένα στοιχείο στο interface. Ένας επιτιθέμενος που θέλει να εντοπίσει την πραγματική διεύθυνση IP κάποιου αρκεί να στήσει έναν ιστότοπο με WebAuthn: δεν εμφανίζεται prompt για passkey και δεν υπάρχει καμία ένδειξη ότι μια διεύθυνση IP διαρρέει στο παρασκήνιο.

Οι ερευνητές εντόπισαν και δύο ακόμη λειτουργίες του WebKit που μπορούν να αποκαλύψουν διευθύνσεις IP και δεδομένα DNS. Το DNS prefetching, που προστέθηκε στο iOS 26, εκθέτει τους πραγματικούς DNS servers του χρήστη, ενώ το WebTransport, που προστέθηκε στο iOS 26.4, μπορεί επίσης να φανερώσει τη διεύθυνση IP.

Η Apple δήλωσε στο 404 Media ότι διερευνά το ζήτημα. Επειδή το πρόβλημα πηγάζει από τον ίδιο τον τρόπο λειτουργίας του WebKit, επηρεάζονται και ορισμένοι browsers τρίτων.

Οι Mysk και Haj Bakry δημιούργησαν έναν ιστότοπο όπου κάθε χρήστης μπορεί να ελέγξει αν η υπηρεσία της Apple αποκαλύπτει τη δική του διεύθυνση IP. Μέχρι η Apple να διορθώσει το κενό, η πιο ασφαλής επιλογή για όσους θέλουν πραγματική προστασία παραμένει η χρήση VPN.