«Частный узел» Apple не оправдал название — уязвимость раскрывает настоящий IP пользователя

[душман]

В ассортименте Apple есть функция «Частный узел» (Private Relay), которую пользователи могут подключать, чтобы скрывать свои IP-адреса при просмотре веб-страниц в Safari. И в работе этой функции обнаружилось слабое место, из-за которого настоящие адреса пользователей оказалось возможным раскрыть.

Уязвимость связана с тремя функциями движка Apple WebKit, на котором работают все браузеры под iOS. «Частный узел» предлагается только подписчикам платных тарифов iCloud+, но это не VPN, который скрывает IP-адреса на уровне системы, а надстройка, которая подключается только в Safari.

Обнаружившие проблему исследователи Талал Хадж Бакри и Томми Мыск сразу предали своё открытие широкой огласке и пояснили, что решили не сообщать о проблеме Apple. «Наш прошлый опыт сотрудничества с Apple показывает, что сообщение об этой проблеме привело бы к многомесячным задержкам, непоследовательности в переписке, а в некоторых случаях и полному отрицанию наличия проблемы», — заявили они.

В подтверждение своему открытию они запустили сайт, который позволяет проверить, раскрывается ли настоящий IP-адрес пользователя, даже если он подключил «Частный узел». В качестве альтернативы исследователи решили разработать собственный приватный браузер Psylo, в котором эта ошибка устранена.