Tre funktioner i WebKit kan sende trafik uden om den proxy, som iCloud Private Relay bruger, og dermed afsløre brugerens rigtige IP-adresse. Sikkerhedsforskerne Tommy Mysk og Talal Haj Bakry har dokumenteret lækkene, mens 404 Media uafhængigt har efterprøvet mindst den passkey-relaterede metode.

Det betyder ikke, at al Safari-trafik pludselig er åben. Men det bryder en vigtig forventning: Et website kan i bestemte forløb få en netværksforespørgsel til at gå direkte fra enheden i stedet for gennem Private Relay.

Tre veje uden om relæet

Forskerne peger på DNS-prefetch, WebAuthn Related Origin Requests og WebTransport. De tre mekanismer har forskellige formål, men fælles for testene er, at en forespørgsel kan forlade enheden uden at følge browserens proxyopsætning.

  • DNS-prefetch kan afsløre brugerens normale DNS-servere.
  • WebAuthn kan ved validering af relaterede domæner sende en direkte forespørgsel i forbindelse med passkeys.
  • WebTransport kan etablere en direkte HTTP/3-forbindelse og dermed eksponere IP-adressen.

404 Media oplyser, at mediet selv afprøvede passkey-metoden og så den rigtige IP-adresse, selv om Private Relay var aktiv. Det gør historien til mere end en teoretisk bekymring.

Hvad lover Apple egentlig?

Apple beskriver Private Relay som en beskyttelse af webtrafik i Safari og DNS-opslag. Tjenesten erstatter brugerens oprindelige IP-adresse med en relæadresse. Den er dog ikke en fuld VPN og beskytter ikke automatisk al trafik fra alle apps.

Den forskel er vigtig her: De dokumenterede læk opstår netop, når bestemte system- eller browserfunktioner ikke følger den forventede relævej. Problemet berører derfor også andre WebKit-baserede browsere og kan være særligt alvorligt i browsere, som bruges med et højt krav om anonymitet.

Det bør du gøre nu

  1. Opdatér iPhone, iPad og Mac, så snart Apple udsender relevante sikkerhedsrettelser.
  2. Betragt Private Relay som et ekstra privatlivslag – ikke som en garanti for anonymitet.
  3. Undgå at bruge følsomme passkey-login på ukendte websites, hvis det er afgørende, at din IP forbliver skjult.
  4. Brug en gennemprøvet VPN eller en anden specialiseret løsning, hvis din trusselsmodel kræver beskyttelse af al netværkstrafik.

Forskerne skriver, at Apple er orienteret. Tjek derfor Apples sikkerhedsnoter ved næste iOS-, iPadOS- eller macOS-opdatering, og behold din ekstra beskyttelse, indtil Apple udtrykkeligt dokumenterer en rettelse.