iCloud Private Relay направляет ваш трафик Safari через два отдельных прокси-сервера, чтобы скрыть ваш IP и DNS от посещаемого сайта. Это не полноценный VPN для всего устройства; он защищает только трафик внутри Safari . Эти новые ошибки WebKit позволяют сетевым запросам выходить за пределы браузерного процесса до того, как сработает прокси-маршрутизация, в результате чего сервер назначения видит ваш реальный IP, а не IP ретранслятора .
Когда сайт поддерживает — или просто заявляет о поддержке — ключей доступа (passkeys), системный сервис учетных данных iOS напрямую загружает проверочный файл с реального IP-адреса устройства, полностью минуя прокси-путь Private Relay . Этот запрос выполняется диспетчером учетных данных операционной системы, а не Safari, поэтому он никогда не попадает в защищенную маршрутизацию Private Relay . Любой сайт может вызвать эту утечку без какого-либо взаимодействия с пользователем; для этого не требуется фактический вход в систему . Майск кратко описал проблему: «Короче говоря: любой сайт, который поддерживает или притворяется, что поддерживает ключи доступа, может увидеть реальный IP-адрес пользователя, несмотря на включенный iCloud Private Relay» .
WebKit разрешает имена хостов через обычный DNS-канал устройства, показывая реальные DNS-серверы пользователя вместо прокси-серверов . Это раскрывает истинные IP и DNS-данные пользователя, даже когда Private Relay активен . Сайт может разместить уникальный адрес и просто отследить, как DNS-запрос приходит из реальной сети пользователя .
Сеансы WebTransport, инициированные в браузере, могут обойти прокси Private Relay, открыв прямое HTTP/3-соединение, что приводит к утечке реальной сетевой информации устройства .
Mysk создал публичный тестовый сайт, где любой может проверить, утекает ли его реальный IP-адрес, несмотря на включенный Private Relay. TechCrunch подтвердил, что сайт смог раскрыть их реальный IP-адрес . Помимо Safari, проблемы также затрагивают OnionBrowser (Tor-браузер для iOS) и другие браузеры на основе прокси из-за обязательного использования WebKit .
Поскольку Apple еще не выпустила патч, единственным надежным решением является использование полноценного VPN для всего устройства, который не полагается на прокси-настройки WebKit. Сторонний браузер Psylo выпустил версию 1.3.1, которая блокирует подсказки dns-prefetch и отключает WebTransport в качестве временного решения .