Функция Private Relay от Apple, которая должна скрывать IP-адрес при работе в Safari, оказалась уязвимой: реальный адрес пользователя можно раскрыть из-за целого набора ошибок.
Исследователи Талал Хадж Бакри и Томми Миск описали проблему в блоге и запустили сайт, где любой желающий может проверить, утекает ли его настоящий IP. Журналисты TechCrunch подтвердили: сервис действительно определил их адрес.
По словам авторов, корень проблемы — в трёх функциях движка WebKit, на котором работают все браузеры в iOS. Первым о находке сообщило издание 404 Media.
Важно понимать, что Private Relay доступен только подписчикам iCloud+ и не является полноценным VPN: он не защищает трафик на уровне системы и работает исключительно внутри Safari.
«Прошлый опыт общения с Apple показывает, что отчёт обернётся месяцами задержек, непоследовательной коммуникацией, а иногда и полным отрицанием проблемы», — объяснил Миск в X, почему баг не передали компании.
Apple пока не прокомментировала ситуацию. Сами исследователи разрабатывают приватный браузер Psylo — по их словам, в нём уже добавлены механизмы, блокирующие утечку IP-адреса.