Sľub služby iCloud Private Relay bol jasný: skryť vašu skutočnú IP adresu počas prehliadania webu v prehliadači Safari, aby vás webové stránky nemohli sledovať. Nedávny výskum však ukázal, že táto ochrana nie je vždy účinná. Skupina bezpečnostných expertov našla niekoľko spôsobov, ako možno odhaliť vašu IP adresu , a to aj s povolenou službou. Problém je vážnejší, ako sa zdá, pretože postihuje všetky prehliadače v systémoch iOS a macOS a už vyvolal značné obavy medzi používateľmi.
Výskumníci Tommy Mysk a Talal Haj Bakry, známi svojimi analýzami súkromia, publikovali správu, ktorá podrobne opisuje tri chyby v nástroji WebKit , ktorý používajú všetky prehliadače v systéme iOS. Tieto chyby umožňujú škodlivej webovej stránke získať vašu skutočnú IP adresu bez vášho vedomia a úplne obísť tunel súkromia Private Relay. Správa sa v posledných hodinách stala virálnou a spoločnosť Apple už potvrdila, že problém vyšetruje, hoci neposkytla časový harmonogram opravy.
Pôvod problému: prístupové kľúče a iné únikové cesty
Najzávažnejšia a najrelevantnejšia chyba pre bežného používateľa sa týka prístupových kľúčov, čoraz populárnejšieho systému overovania bez hesla . Keď webová stránka požiada o prístupový kľúč, žiadosť sa nespracuje v prehliadači Safari; namiesto toho ju operačný systém zariadenia spracuje priamo na systémovej úrovni. Tento proces, ktorý používa štandard WebAuthn, beží mimo tunela ochrany súkromia vytvoreného systémom Private Relay, čo znamená, že webová stránka, ktorá oň požiada, môže ľahko vidieť skutočnú IP adresu zariadenia.
Táto otázka je obzvlášť citlivá, pretože, ako zdôrazňujú výskumníci, akákoľvek webová stránka dokáže simulovať podporu pre prístupové kľúče, aby vynútila túto požiadavku a získala IP adresu návštevníka. Nie je potrebná žiadna interakcia s používateľom, čo z nej robí tiché zadné vrátka na sledovanie a identifikáciu. Okrem toho výskumníci zdokumentovali dve ďalšie chyby vo WebKite , ktoré situáciu zhoršujú: predbežné načítanie DNS, ktoré filtruje dopyty do systému názvov domén, a WebTransport, protokol priameho pripojenia, ktorý tiež obchádza proxy.
Mysk a Haj Bakry sprístupnili testovaciu webovú stránku leaks.psylo.app, kde si ktokoľvek môže overiť, či jeho IP adresa neuniká, aj keď má zapnutú funkciu Private Relay. Testy vykonané novinármi 404 Media na tejto stránke potvrdili, že nástroj zobrazuje skutočnú IP adresu používateľa, ktorý bol teoreticky chránený službou od spoločnosti Apple.
Dosah v ekosystéme iOS a mimo neho
Jednou zo zvláštností tohto problému je, že sa netýka iba prehliadača Safari. Kvôli pravidlám App Store musia všetky prehliadače dostupné v systéme iOS , ako napríklad Chrome, Firefox a Brave, používať engine WebKit. To znamená, že zraniteľnosť sa rozširuje prakticky na každý prehliadač v systéme vrátane možností zameraných na súkromie, ako je Onion Browser, prehliadač, ktorý sa pripája k sieti Tor. Výskumníci potvrdili, že aj tento prehliadač trpí únikmi IP adries a už kontaktovali jeho vývojárov, aby našli riešenia.
Táto situácia znovu rozprúdila diskusiu o povahe služby iCloud Private Relay. Na rozdiel od tradičnej VPN, ktorá chráni všetku sieťovú prevádzku v zariadení na systémovej úrovni, Private Relay pôsobí iba na prevádzku prechádzajúcu cez Safari. Tento často prehliadaný rozdiel je koreňom súčasného problému. Odborníci trvajú na tom, že takáto služba by sa nemala považovať za náhradu plnohodnotnej VPN , pretože jej rozsah je oveľa obmedzenejší, ako si mnohí používatelia myslia.
V Európe a Španielsku je táto situácia obzvlášť relevantná. Súkromie je základné právo chránené všeobecným nariadením o ochrane údajov (GDPR) a Španielsky úrad pre ochranu údajov (AEPD) je jedným z orgánov, ktoré najaktívnejšie monitorujú dodržiavanie týchto predpisov. Takéto zlyhanie v službe, ktorá sa predáva práve ako bašta súkromia, by mohlo mať regulačné dôsledky , najmä ak sa preukáže, že funkcionalita neponúka sľúbenú úroveň ochrany.
Reakcia a odporúčania spoločnosti Apple
Spoločnosť Apple potvrdila pre 404 Media, že správu výskumníkov vyšetruje, hoci neposkytla konkrétny dátum opravy. Na portáli pre bezpečnostné hlásenia, ktorý výskumníci používajú, stav problému naznačuje, že oprava je plánovaná na jeseň 2026. Minulé skúsenosti s podobnou chybou v službe Hide My Email, ktorá tiež odhalila používateľské údaje a jej riešenie trvalo viac ako rok, však vyvolávajú pochybnosti o rýchlosti reakcie.
Medzitým jediný spôsob, ako úplne chrániť svoju IP adresu v systéme iOS, je použiť VPN na úrovni systému . Služby ako napríklad ProtonVPN, Mullvad alebo WireGuard dokážu chrániť všetku prevádzku zariadenia vrátane požiadaviek pochádzajúcich mimo prehliadača, ako sú napríklad požiadavky súvisiace s prístupovými kľúčmi. Výskumníci potvrdzujú, že tradičná VPN chráni všetku prevádzku zariadenia vrátane požiadaviek na prístupové kľúče, ktoré uniknú tunelu ochrany súkromia.
Bezpečnostná komunita už na tento problém zamerala svoju pozornosť, a oprávnene. Únik skutočných IP adries by mohol umožniť reklamným sieťam a sledovacím službám prepojiť identitu používateľa s jeho aktivitou prehliadania, čo by úplne podkopalo účel služby Private Relay. Hoci táto zraniteľnosť doteraz nebola zneužitá vo veľkom meradle, samotná skutočnosť, že existuje demo webová stránka a že medzinárodné médiá problém potvrdili, podčiarkuje závažnosť situácie.
Na záver je dôležité mať na pamäti, že tento incident úplne neznižuje užitočnosť funkcie iCloud Private Relay. Zvyšok vášho prehliadania cez Safari zostáva chránený systémom dvojitého prenosu, ktorý bráni spoločnosti Apple a webovým stránkam korelovať vašu IP adresu s vašou aktivitou. Existencia týchto medzier, najmä tých, ktoré súvisia s prístupovými kľúčmi, však dokazuje, že digitálne súkromie je neustálym bojiskom, kde zdanlivo robustné riešenia môžu mať slepé miesta. Používatelia by si mali byť vedomí týchto obmedzení a ak je ich vnímaná hrozba vysoká, mali by zvážiť použitie doplnkových nástrojov, ako je VPN, aby sa zabezpečila skutočne komplexná ochrana. Dôvera v sľuby týkajúce sa súkromia by mala byť založená na skutočnom pochopení toho, ako tieto technológie fungujú a aké sú ich obmedzenia.