Obećanje iCloud Private Relay-a bilo je jasno: sakriti vašu stvarnu IP adresu tokom pregledavanja interneta pomoću Safarija kako vas web stranice ne bi mogle pratiti. Međutim, nedavna istraživanja su otkrila da ova zaštita nije uvijek efikasna. Grupa sigurnosnih stručnjaka pronašla je nekoliko načina na koje se vaša IP adresa može otkriti , čak i kada je usluga omogućena. Problem je ozbiljniji nego što se čini, jer utiče na sve preglednike na iOS-u i macOS-u i već je izazvao značajnu zabrinutost među korisnicima.
Istraživači Tommy Mysk i Talal Haj Bakry, poznati po svojim analizama privatnosti, objavili su izvještaj u kojem detaljno opisuju tri nedostatka u WebKitu , mehanizmu koji koriste svi preglednici na iOS-u. Ovi nedostaci omogućavaju zlonamjernoj web stranici da dobije vašu stvarnu IP adresu bez vašeg znanja, potpuno zaobilazeći tunel privatnosti Private Relay. Vijest je posljednjih sati postala viralna, a Apple je već potvrdio da istražuje problem, iako nije naveo vremenski okvir za rješavanje problema.
Porijeklo problema: lozinke i drugi putevi za bijeg
Najozbiljnija i najrelevantnija mana za prosječnog korisnika odnosi se na lozinke, sve popularniji sistem autentifikacije bez lozinke . Kada web stranica zatraži lozinku, zahtjev se ne obrađuje unutar Safari preglednika; umjesto toga, operativni sistem uređaja ga obrađuje direktno na nivou sistema. Ovaj proces, koji koristi WebAuthn standard, izvodi se izvan tunela privatnosti koji je kreirao Private Relay, što znači da web stranica koja šalje zahtjev može lako vidjeti stvarnu IP adresu uređaja.
Problem je posebno osjetljiv jer, kako istraživači ističu, bilo koja web stranica može simulirati podršku za lozinke kako bi prisilila ovaj zahtjev i dobila IP adresu posjetitelja. Nije potrebna interakcija korisnika, što ovo čini tihim ulazom za praćenje i identifikaciju. Nadalje, istraživači su dokumentirali još dvije mane u WebKitu koje pogoršavaju situaciju: DNS prefetching, koji filtrira upite prema sistemu domenskih imena, i WebTransport, protokol za direktnu vezu koji također zaobilazi proxy.
Mysk i Haj Bakry su stavili na raspolaganje testnu web stranicu, leaks.psylo.app, gdje svako može provjeriti da li se njegova IP adresa otkriva uprkos tome što je omogućen Private Relay. Testovi koje su proveli novinari 404 Media na ovoj stranici potvrdili su da alat prikazuje stvarnu IP adresu korisnika koji je, teoretski, bio zaštićen Appleovom uslugom.
Doseg u iOS ekosistemu i šire
Jedna od specifičnosti ovog problema je da ne utiče samo na Safari. Zbog politika App Storea, svi preglednici dostupni na iOS-u , kao što su Chrome, Firefox i Brave, moraju koristiti WebKit engine. To znači da se ranjivost proteže na gotovo svaki preglednik na sistemu, uključujući opcije usmjerene na privatnost poput Onion Browsera, preglednika koji se povezuje na Tor mrežu. Istraživači su potvrdili da i ovaj preglednik pati od curenja IP adresa i već su kontaktirali njegove programere kako bi pronašli rješenja.
Ova situacija je ponovo pokrenula debatu o prirodi iCloud Private Relay-a. Za razliku od tradicionalnog VPN-a, koji štiti sav mrežni promet na uređaju na nivou sistema, Private Relay djeluje samo na promet koji prolazi kroz Safari. Ova često zanemarena razlika je korijen trenutnog problema. Stručnjaci insistiraju da se ovakva usluga ne bi trebala smatrati zamjenom za punopravni VPN , jer je njen opseg mnogo ograničeniji nego što mnogi korisnici vjeruju.
U Evropi i Španiji, situacija je posebno relevantna. Privatnost je osnovno pravo zaštićeno Općom uredbom o zaštiti podataka (GDPR), a Španska agencija za zaštitu podataka (AEPD) jedno je od tijela koja najaktivnije prate usklađenost s tim propisima. Propust ove prirode u usluzi koja se prodaje upravo kao bastion privatnosti mogao bi imati regulatorne implikacije , posebno ako se dokaže da funkcionalnost ne nudi obećani nivo zaštite.
Appleov odgovor i preporuke
Apple je potvrdio za 404 Media da istražuje izvještaj istraživača, iako nije naveo tačan datum za ispravku. Na portalu za sigurnosno izvještavanje koji koriste istraživači, status problema ukazuje na to da je ispravka planirana za jesen 2026. Međutim, prošla iskustva sa sličnim propustom u usluzi Hide My Email, koji je također otkrio korisničke podatke i čije je rješavanje trajalo više od godinu dana, izazivaju sumnju u brzinu odgovora.
U međuvremenu, jedini način da u potpunosti zaštitite svoju IP adresu na iOS-u je korištenje VPN-a na sistemskom nivou . Servisi poput ProtonVPN-a, Mullvad-a ili WireGuard-a, na primjer, mogu zaštititi sav promet uređaja, uključujući zahtjeve koji potiču izvan preglednika, poput onih koji se odnose na lozinke. Istraživači potvrđuju da tradicionalni VPN štiti sav promet uređaja, uključujući zahtjeve za lozinke koji izbjegavaju tunel privatnosti.
Sigurnosna zajednica je već usmjerila svoju pažnju na ovo pitanje, i to s pravom. Curenje stvarnih IP adresa moglo bi omogućiti reklamnim mrežama i servisima za praćenje da povežu identitet korisnika s njegovom aktivnošću pregledavanja, potpuno potkopavajući svrhu Private Relay-a. Iako ranjivost do sada nije iskorištena u velikoj mjeri, sama činjenica da postoji demo web stranica i da su međunarodni mediji potvrdili problem naglašava ozbiljnost situacije.
Zaključno, važno je zapamtiti da ovaj incident ne poništava u potpunosti korisnost iCloud Private Relay-a. Ostatak vašeg pregledavanja putem Safarija ostaje zaštićen sistemom dvostrukog releja, koji sprečava Apple i web stranice da povežu vašu IP adresu s vašom aktivnošću. Međutim, postojanje ovih rupa, posebno onih koje se odnose na lozinke, pokazuje da je digitalna privatnost stalno bojno polje gdje naizgled robusna rješenja mogu imati slijepe tačke. Korisnici bi trebali biti svjesni ovih ograničenja i, ako je njihova percipirana prijetnja velika, razmotriti korištenje komplementarnih alata poput VPN-a kako bi osigurali zaista sveobuhvatnu zaštitu. Povjerenje u obećanja o privatnosti treba se zasnivati na stvarnom razumijevanju načina na koji ove tehnologije funkcionišu i koja su njihova ograničenja.