Apple'ın iCloud+ aboneleri için sunulan Private Relay özelliği, kullanıcıların IP adreslerini gizlemede başarısız olabiliyor. Güvenlik araştırmacıları Tommy Mysk ve Talal Haj Bakry, bu koruma mekanizmasının belirli durumlarda gerçek IP adresini sızıttığını tespit etti. Araştırmacılar, herhangi bir kullanıcının IP adresinin sızıp sızmadığını kontrol edebileceği bir test web sitesi de kurdu.
Sorunun kaynağı WebKit altyapısında yer alan üç farklı özellikle ilgili. Private Relay, Safari tarayıcısında kullanıcının kimliğini maskelemek için tasarlanmış olsa da, passkey (parola anahtarı) teknolojisini kullanan web sitelerinde bu koruma devre dışı kalıyor. Passkey kimlik doğrulaması tarayıcının dışında cihazın işletim sistemi düzeyinde gerçekleştiği için, Private Relay'in proxy hattından geçmiyor ve IP adresi açığa çıkabiliyor.
WebKit'teki diğer açıklar
Araştırmacılar, WebKit altyapısında IP adresi ve DNS verilerini sızdıran ek sorunlar keşfetti. iOS 26 ile gelen DNS ön getirme özelliği kullanıcının gerçek DNS sunucularını açığa çıkarırken, iOS 26.4 ile eklenen WebTransport özelliği de IP sızıntısına neden olabiliyor. WebKit tüm iOS tarayıcılarında kullanıldığı için, OnionBrowser ve araştırmacıların geliştirdiği Psylo gibi gizlilik odaklı tarayıcılar da aynı riskle karşı karşıya.
Apple, konuyla ilgili raporları incelemeye başladığını açıkladı. Mysk, Apple'a sorunun doğrudan raporlanmadığını ve bunun sebebinin şirketin geçmişteki tepkilerine duyulan güvensizlik olduğunu belirtti. Apple'ın benzer sorunları düzeltmesi bazen uzun sürebiliyor; örneğin iCloud'un Hide My Email özelliğinde keşfedilen benzer açık, raporlandıktan bir yıl sonra kapatılmıştı.
Araştırmacılar, sorunun giderilmesine kadar daha yüksek güvenlik isteyen kullanıcıların geleneksel VPN hizmetlerine geçmesini öneriyorlar. Private Relay'in sunduğu koruma seviyesi, sistem genelinde çalışan VPN'lerin aksine sadece Safari'de geçerli olduğu için, kötü niyetli web siteleri doğrudan cihaz düzeyinde IP adreslerine erişebiliyor.
