iCloud Private Relay lubadus oli selge: varjata teie tegelikku IP-aadressi Safari sirvimise ajal, et veebisaidid ei saaks teid jälgida. Hiljutised uuringud on aga näidanud, et see kaitse ei ole alati efektiivne. Turvalisuse ekspertide rühm on leidnud mitu viisi, kuidas teie IP-aadressi saab paljastada isegi siis, kui teenus on lubatud. Probleem on tõsisem, kui paistab, sest see mõjutab kõiki iOS-i ja macOS-i brausereid ning on juba kasutajate seas märkimisväärset muret tekitanud.
Privaatsusanalüüside poolest tuntud teadlased Tommy Mysk ja Talal Haj Bakry on avaldanud aruande, milles kirjeldatakse kolme viga WebKitis – mootoris, mida kõik iOS-i brauserid kasutavad. Need vead võimaldavad pahatahtlikul veebisaidil teie teadmata teie tegeliku IP-aadressi hankida, möödudes täielikult Private Relay privaatsustunnelist. Uudis on viimastel tundidel viiruslikult levinud ja Apple on juba tunnistanud, et uurib probleemi, kuigi paranduse ajakava pole avaldatud.
Probleemi algpõhjus: pääsukoodid ja muud põgenemisteed
Kõige tõsisem ja olulisem viga tavakasutaja jaoks on seotud pääsukoodidega, mis on üha populaarsemaks muutuv paroolivaba autentimissüsteem . Kui veebisait taotleb pääsukoodi, ei käsitleta päringut Safari brauseris, vaid seadme operatsioonisüsteem töötleb seda otse süsteemi tasandil. See protsess, mis kasutab WebAuthni standardit, toimib väljaspool Private Relay loodud privaatsustunnelit, mis tähendab, et päringu esitav veebisait näeb seadme tegelikku IP-aadressi hõlpsalt.
See teema on eriti tundlik, sest nagu teadlased välja toovad, saab iga veebisait simuleerida pääsukoodide tuge, et sundida seda päringut tegema ja külastaja IP-aadressi hankima. Kasutaja sekkumist pole vaja, mistõttu on see jälgimise ja tuvastamise vaikne tagauks. Lisaks on teadlased dokumenteerinud WebKitis kaks täiendavat viga , mis olukorda süvendavad: DNS-i eellaadimine, mis filtreerib päringuid domeeninimede süsteemi, ja WebTransport, otseühenduse protokoll, mis samuti puhverserverist mööda läheb.
Mysk ja Haj Bakry on loonud testveebisaidi leaks.psylo.app, kus igaüks saab kontrollida, kas tema IP-aadress lekib, hoolimata sellest, et Private Relay on lubatud. 404 Media ajakirjanike poolt sellel saidil läbi viidud testid kinnitasid, et tööriist kuvas kasutaja tegelikku IP-aadressi, keda teoreetiliselt kaitses Apple'i teenus.
Ulatus iOS-i ökosüsteemis ja kaugemalgi
Selle probleemi üks eripära on see, et see ei mõjuta ainult Safarit. App Store'i poliitikate tõttu peavad kõik iOS-is saadaolevad brauserid , näiteks Chrome, Firefox ja Brave, kasutama WebKiti mootorit. See tähendab, et haavatavus laieneb praktiliselt kõigile süsteemi brauseritele, sealhulgas privaatsusele keskenduvatele valikutele, näiteks Onion Browserile, mis on brauser, mis ühendub Tor-võrguga. Teadlased on kinnitanud, et ka see brauser kannatab IP-lekete all ja on juba lahenduste leidmiseks ühendust võtnud selle arendajatega.
See olukord on taas sütitanud arutelu iCloud Private Relay olemuse üle. Erinevalt traditsioonilisest VPN-ist, mis kaitseb kogu seadme võrguliiklust süsteemi tasandil, toimib Private Relay ainult Safarist läbiva liikluse puhul. See sageli tähelepanuta jäetud erinevus on praeguse probleemi juur. Eksperdid väidavad, et sellist teenust ei tohiks pidada täieõigusliku VPN-i asendajaks , kuna selle ulatus on palju piiratum, kui paljud kasutajad arvavad.
Euroopas ja Hispaanias on olukord eriti aktuaalne. Privaatsus on isikuandmete kaitse üldmäärusega (GDPR) kaitstud põhiõigus ja Hispaania andmekaitseamet (AEPD) on üks organitest, mis kõige aktiivsemalt nende määruste järgimist jälgib. Selline rike teenuses, mida turustatakse just privaatsuse bastionina, võib kaasa tuua regulatiivseid tagajärgi , eriti kui selgub, et funktsionaalsus ei paku lubatud kaitsetaset.
Apple'i vastus ja soovitused
Apple on 404 Mediale kinnitanud, et uurib teadlaste aruannet, kuigi pole paranduse täpset kuupäeva avaldanud. Teadlaste kasutatavas turvateadete portaalis näitab probleemi olek, et parandus on planeeritud 2026. aasta sügiseks. Varasem kogemus sarnase veaga teenuses Hide My Email, mis samuti paljastas kasutajaandmeid ja mille lahendamine võttis rohkem kui aasta, tekitab aga kahtlusi reageerimise kiiruses.
Samal ajal on iOS-is oma IP-aadressi täielikuks kaitsmiseks ainus viis süsteemitaseme VPN-i kasutamine . Näiteks sellised teenused nagu ProtonVPN, Mullvad või WireGuard suudavad kaitsta kogu seadme liiklust, sealhulgas brauseriväliselt pärinevaid päringuid, näiteks paroolidega seotud päringuid. Teadlased kinnitavad, et traditsiooniline VPN kaitseb kogu seadme liiklust, sealhulgas privaatsustunnelist väljuvaid paroolitaotlusi.
Turvakogukond on sellele probleemile juba tähelepanu pööranud ja õigustatult. Tegelike IP-aadresside leke võib võimaldada reklaamivõrgustikel ja jälgimisteenustel siduda kasutaja identiteedi tema sirvimistegevusega, õõnestades täielikult Private Relay eesmärki. Kuigi haavatavust pole seni massiliselt ära kasutatud, rõhutab ainuüksi demoveebisaidi olemasolu ja rahvusvahelised meediaväljaanded probleemi kinnitamise fakt olukorra tõsidust.
Kokkuvõtteks on oluline meeles pidada, et see juhtum ei muuda iCloud Private Relay kasulikkust täielikult kehtetuks. Ülejäänud Safari sirvimine on endiselt kaitstud topeltedastussüsteemiga, mis takistab Apple'il ja veebisaitidel teie IP-aadressi teie tegevusega seostamist. Nende lünkade olemasolu, eriti paroolidega seotud lünkade olemasolu, näitab aga, et digitaalne privaatsus on pidev lahinguväli, kus pealtnäha kindlatel lahendustel võivad olla pimedad kohad. Kasutajad peaksid olema neist piirangutest teadlikud ja kui nende tajutav oht on suur, kaaluma täiendavate tööriistade, näiteks VPN-i, kasutamist, et tagada tõeliselt igakülgne kaitse. Usaldus privaatsuslubaduste vastu peaks põhinema nende tehnoloogiate toimimise ja piirangute tegelikul mõistmisel.