Для розуміння проблеми важливо знати, що iCloud Private Relay — це не повноцінний VPN. Він працює лише в Safari та маршрутизує трафік через два окремі проксі-сервери, приховуючи вашу IP-адресу та DNS від сайту призначення . Виявлені вади WebKit дозволяють мережевим запитам вийти за межі захищеного процесу браузера до того, як спрацює проксі-маршрутизація. Як наслідок, сервер бачить вашу справжню IP-адресу, а не адресу вихідного проксі .
Паскейси (passkeys) — це зручна та безпечна альтернатива паролям, яка використовує біометрію. Проблема в тому, що коли сайт підтримує (або лише вдає, що підтримує) паскейси, служба облікових даних iOS надсилає запит на перевірку безпосередньо з пристрою, повністю оминаючи проксі-ланцюжок Private Relay . Цей запит ініціює операційна система, а не Safari, тому він ніколи не потрапляє під захист Private Relay . Будь-який сайт може викликати цей витік навіть без жодної взаємодії з користувачем — для цього не потрібно навіть намагатися ввійти в систему . Дослідники з Mysk підсумували це так: «Коротше кажучи: будь-який сайт, який підтримує або прикидається, що підтримує паскейси, може побачити справжню IP-адресу користувача, навіть якщо iCloud Private Relay увімкнено» .
Щоб прискорити завантаження сторінок, браузери іноді заздалегідь виконують DNS-запити. Вразливість полягає в тому, що WebKit вирішує імена хостів через звичайний DNS-шлях пристрою, розкриваючи справжні DNS-сервери користувача замість проксі . Це дає змогу сайту дізнатися вашу реальну IP-адресу та DNS-інформацію, навіть коли Private Relay активний . Сайт може „посадити“ унікальну адресу та просто спостерігати, як DNS-запит надходить із вашої реальної мережі .
WebTransport — це новітній протокол для швидкої передачі даних. Сеанси WebTransport, ініційовані в браузері, можуть обійти проксі Private Relay, відкриваючи пряме HTTP/3-з'єднання, що знову ж таки „зливає“ реальну мережеву інформацію пристрою .
Дослідники Mysk створили публічний тестовий сайт, на якому кожен може перевірити, чи „витікає“ його реальна IP-адреса, незважаючи на ввімкнений Private Relay. Видання TechCrunch підтвердило, що сайт справді зміг визначити їхню реальну IP-адресу . Проблема стосується не лише Safari, а й інших браузерів на iOS, зокрема OnionBrowser (Tor-браузер для iOS), через те, що всі вони базуються на WebKit .
Оскільки Apple досі не випустила патч, єдиний надійний спосіб захиститися — використовувати повноцінний VPN на рівні всього пристрою, який не покладається на проксі-налаштування WebKit. Сторонній браузер Psylo вже випустив версію 1.3.1, яка блокує підказки dns-prefetch і вимикає WebTransport як тимчасове рішення .