iCloud Private Relay có thể làm lộ IP thật qua các cơ chế bỏ qua proxy của WebKit
"Researchers reported that Apple iCloud Private Relay can leak a user's real IP address due to WebKit proxy bypasses in DNS prefetching, WebAuthn Related Origin Requests, and WebTransport. The issue affects Safari and other WebKit-based browsers on iOS, iPadOS, and macOS; Apple said it is investigating, and the leak can be mitigated by using a VPN."
Có thể làm lộ IP thật, ảnh hưởng đến ẩn danh mạng và khả năng liên kết phiên truy cập với người dùng. Rủi ro tăng khi website chủ động khai thác các cơ chế của WebKit.
Có thể tác động đến quyền riêng tư người dùng, chính sách tuân thủ và niềm tin vào các tính năng bảo vệ danh tính. Mức ảnh hưởng phụ thuộc vào việc tổ chức có dùng Safari/WebKit và iCloud Private Relay hay không.
Các nhà nghiên cứu bảo mật đã công bố một vấn đề trong iCloud Private Relay của Apple có thể làm lộ địa chỉ IP thật của người dùng. Theo báo cáo, rò rỉ xảy ra khi WebKit sử dụng các cơ chế như DNS prefetching, WebAuthn Related Origin Requests và WebTransport để gửi lưu lượng trực tiếp từ thiết bị, thay vì đi qua proxy đã cấu hình.
Lỗi này ảnh hưởng đến Safari và các trình duyệt bên thứ ba dựa trên WebKit trên iOS, iPadOS và macOS. Do WebAuthn được dùng cho đăng nhập bằng passkey, bất kỳ website nào triển khai tính năng này theo cách phù hợp đều có thể quan sát IP thật của người dùng, ngay cả khi Private Relay đang bật. Nhóm nghiên cứu cũng công bố một trang PoC để kiểm tra khả năng rò rỉ.
Apple cho biết đang điều tra báo cáo. Trong khi chờ bản vá hoặc cập nhật từ nhà cung cấp, biện pháp giảm thiểu được khuyến nghị là sử dụng VPN khi cần bảo vệ lớp ẩn danh mạng. Các tổ chức nên rà soát chính sách trình duyệt, theo dõi hành vi truy cập bất thường và đánh giá mức độ phụ thuộc vào iCloud Private Relay trong môi trường người dùng cuối.