Talal Haj Bakry și Tommy Mysk, cercetătorii care au descoperit problema, au scris în postarea lor pe blog că problema constă în trei caracteristici ale motorului de browser web WebKit al Apple, care este folosit de toate browserele din iOS. Private Relay este disponibil doar pentru abonații iCloud+ și nu este ca o rețea virtuală privată (VPN), care protejează adresa IP a cuiva la nivel de sistem. Private Relay funcționează doar când folosești Safari.
Mysk a scris într-o postare pe X că au ales să nu raporteze problema către Apple pentru că „experiența noastră anterioară cu Apple ne spune că raportarea acestei probleme ar implica luni de întârzieri, comunicare inconsistentă și, în unele cazuri, negarea completă a impactului problemei”. Mysk și colegii săi dezvoltă un browser privat numit Psylo, despre care spun că acum are măsuri de atenuare care împiedică scurgerea adreselor IP ale utilizatorilor atunci când folosesc Psylo.
Cum funcționează Private Relay și de ce e vulnerabil
Private Relay este un serviciu de confidențialitate integrat în iCloud+ care direcționează traficul Safari prin două relee separate: una de la Apple și una de la un partener terț (precum Cloudflare sau Akamai). Prima releu vede adresa IP reală, dar nu și site-ul vizitat; a doua releu vede site-ul, dar nu adresa IP. În teorie, niciunul dintre relee nu poate asocia identitatea utilizatorului cu activitatea de navigare. În practică, însă, cercetătorii au descoperit că anumite caracteristici WebKit pot ocoli această separare.
Problema principală este legată de modul în care WebKit gestionează conexiunile WebSocket și alte resurse încărcate dinamic. Atunci când un site solicită o conexiune WebSocket, Private Relay nu reușește să mascheze adresa IP, deoarece aceste conexiuni nu trec prin cele două relee. De asemenea, anumite tipuri de redirecționări și încărcări de resurse terțe (precum fonturi, scripturi sau imagini) pot expune adresa IP reală dacă nu sunt gestionate corect de către browser.
Cercetătorii au demonstrat că un site rău intenționat poate exploata aceste vulnerabilități pentru a determina adresa IP reală a unui utilizator care folosește Private Relay. Ei au creat un site de testare (disponibil la adresa menționată în articolul original) care verifică dacă IP-ul tău se scurge. TechCrunch a testat și a confirmat că funcționează.
Reacția Apple și implicațiile
Apple nu a comentat încă public această descoperire. Deoarece cercetătorii au ales să nu raporteze problema prin programul oficial de bug bounty al Apple, este posibil ca Apple să nu fie conștientă de amploarea vulnerabilității. Mysk a explicat că experiențele anterioare cu Apple i-au făcut să fie sceptici cu privire la o rezolvare rapidă. În trecut, Apple a fost criticată pentru că a ignorat sau a întârziat remedierea unor probleme de securitate raportate de cercetători independenți.
Pentru utilizatorii obișnuiți, această scurgere de IP poate avea consecințe serioase. Deși Private Relay nu este un VPN complet, el oferă un strat de confidențialitate important pentru cei care doresc să evite urmărirea online. O adresă IP reală poate fi folosită pentru a localiza geografic un utilizator, pentru a crea un profil de navigare sau pentru a ocoli restricții regionale. În plus, în contextul în care Apple promovează confidențialitatea ca unul dintre punctele sale forte, o astfel de vulnerabilitate subminează încrederea utilizatorilor.
Ce poți face pentru a te proteja
Până când Apple va remedia problema, utilizatorii pot lua câteva măsuri:
1. Folosește un VPN real – Un VPN de încredere (precum Mullvad, ProtonVPN sau altele) criptează tot traficul la nivel de sistem, nu doar în Safari. Astfel, chiar dacă Private Relay e ocolit, VPN-ul îți va ascunde adresa IP.
2. Dezactivează Private Relay – Dacă nu ai nevoie de el, poți să îl oprești din setările iCloud. Nu este o soluție ideală, dar elimină riscul.
3. Folosește un browser alternativ – Mysk recomandă browserul Psylo, care are măsuri de atenuare integrate. Alte browsere precum Firefox Focus sau Brave oferă și ele protecție suplimentară.
4. Verifică-ți expunerea – Accesează site-ul creat de cercetători (link în articolul original) pentru a vedea dacă IP-ul tău se scurge.
Concluzie
Această descoperire arată că nici măcar soluțiile de confidențialitate ale Apple nu sunt perfecte. Private Relay este un pas în direcția corectă, dar nu este o soluție magică. Utilizatorii care se bazează exclusiv pe el pentru a-și ascunde adresa IP ar trebui să fie conștienți de limitări. Până la o actualizare oficială, cea mai sigură cale este combinarea mai multor instrumente de confidențialitate.
De ce este important:
Această vulnerabilitate demonstrează că funcțiile de confidențialitate integrate în sistemele de operare nu sunt întotdeauna sigure. Apple a construit o reputație solidă în ceea ce privește protecția datelor utilizatorilor, dar orice breșă, oricât de mică, poate eroda încrederea. Pentru jurnaliști, activiști sau utilizatori din regimuri autoritare, o adresă IP reală poate însemna diferența dintre anonimat și expunere. Este esențial ca Apple să trateze această problemă cu seriozitate și să ofere o remediere rapidă. Până atunci, utilizatorii trebuie să fie vigilenți și să își diversifice metodele de protecție.
