Исследователи в области безопасности Томми Мыск и Талал Хай Бакри обнаружили уязвимость в функции iCloud Private Relay компании Apple. Этот сервис, который доступен по платной подписке iCloud+, предназначен для скрытия реального IP-адреса пользователя при работе в Safari. Однако выяснилось, что в определённых ситуациях веб-сайты всё равно могут получить настоящий IP-адрес.

«Исследователи создали тестовый сайт, с помощью которого можно проверить, виден ли реальный IP. Их тесты показали, что даже при включённом Private Relay сайт получает настоящий адрес», — сообщает Ferra.

Проблема связана с passkeys. Когда сайт запрашивает такой ключ, система Apple обрабатывает запрос не через браузер Safari, а через отдельную системную службу. Private Relay защищает только трафик в Safari. Таким образом, запрос с ключом обходит защиту, и сайт видит реальный адрес пользователя. Уязвимость затрагивает не только Safari, но и любые браузеры на iPhone, так как все они используют один и тот же движок WebKit. Apple подтвердила получение отчёта и заявила, что расследует инцидент.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.