- O eroare în motorul WebKit poate dezvălui adresa IP reală a utilizatorilor iCloud+ chiar și cu Private Relay activ.
Apple a construit Private Relay ca pe un scut pentru confidențialitatea utilizatorilor Safari, dar un defect descoperit recent poate găuri acest scut. Potrivit cercetătorilor de securitate, o problemă în motorul WebKit permite site-urilor să afle adresa IP reală a utilizatorilor, anulând practic beneficiul funcției.
Ce este Private Relay și cum funcționează
Private Relay este o funcție inclusă în abonamentul iCloud+, care maschează adresa IP a utilizatorului atunci când navighează cu Safari. În loc să trimită direct traficul către site, Apple îl direcționează prin două servere de proxy separate, astfel încât nici site-ul, nici operatorul de internet să nu poată identifica exact utilizatorul. Aceasta este una dintre caracteristicile esențiale de confidențialitate pe care Apple le promovează intens, în special pe iPhone și Mac.
Ce a descoperit cercetătorii
Defectul se află în modul în care WebKit, motorul browserului Safari, gestionează anumite cereri HTTP. Cercetătorii au descoperit că, în condiții specifice, aceste cereri pot transmite către server o serie de informații care includ adresa IP reală a dispozitivului, ocolind complet mascarea oferită de Private Relay. Cu alte cuvinte, un site poate folosi această portiță pentru a identifica utilizatorul, chiar dacă acesta are funcția activă.
Potrivit surselor, problema a fost confirmată în testele efectuate de specialiști, dar Apple nu a comentat încă oficial. Deocamdată, nu se știe dacă defectul a fost activ exploatat în sălbăticie, însă prezența sa ridică semne de întrebare serioase asupra solidității modului în care funcția este implementată.
Cum te poate afecta
Pentru utilizatorii care se bazează pe Private Relay pentru a-și proteja identitatea sau pentru a evita urmărirea, această scurgere poate fi deosebit de gravă. Un site web ar putea vedea, în mod neașteptat, adresa IP reală, ceea ce permite localizarea geografică, corelarea cu alte activități online sau chiar identificarea directă a utilizatorului. De asemenea, datele despre comportamentul de navigare pot fi colectate și vândute către terți, fără consimțământul explicit al persoanei.
Impactul este resimțit cel mai puternic în scenariile de tipul jurnaliștilor, activiștilor sau persoanelor care locuiesc în medii cu restricții online, unde ascunderea identității este esențială. Deși Apple susține că Private Relay este „privat și sigur”, astfel de bube demonstrează că nicio soluție nu este perfectă.
Ce poți face ca să te protejezi
Până la lansarea unui patch oficial, este bine să fii prudent:
- Dacă folosești Safari cu Private Relay activ, poți dezactiva temporar funcția din setările iCloud pentru a evita riscul de expunere.
- O soluție mai robustă este utilizarea unui VPN de încredere, care criptează tot traficul și ascunde adresa IP prin tunel dedicat.
- Fii atent la actualizările de sistem; Apple va corecta cel mai probabil problema într-o viitoare versiune de iOS/iPadOS/macOS.
- Inspectează periodic aplicațiile care au permisiuni de rețea și limitează accesul celor care par suspecte.
Ce înseamnă pentru tine
Dacă ai activ Private Relay, acest defect îți arată că nici soluțiile integrate nu sunt infailibile. Iată câteva lucruri practice pe care le poți face: verifică setările de confidențialitate și actualizează dispozitivele la cele mai noi versiuni; pentru date extrem de sensibile, nu te baza doar pe un singur strat de protecție și folosește un VPN atunci când situația o cere; fii conștient că orice funcție de „ascundere a IP-ului” poate avea vulnerabilități ascunse, deci tratează cu prudență informațiile pe care le trimiți într-o rețea neprotejată.