Malinaw ang pangako ng iCloud Private Relay: itago ang iyong tunay na IP address habang nagba-browse gamit ang Safari upang hindi ka masubaybayan ng mga website. Gayunpaman, isiniwalat ng mga kamakailang pananaliksik na ang proteksyong ito ay hindi laging epektibo. Isang grupo ng mga eksperto sa seguridad ang nakatuklas ng ilang paraan kung paano maaaring mabunyag ang iyong IP address , kahit na naka-enable ang serbisyo. Ang problema ay mas seryoso kaysa sa tila, dahil nakakaapekto ito sa lahat ng browser sa iOS at macOS, at nakabuo na ng malaking pag-aalala sa mga gumagamit.
Ang mga mananaliksik na sina Tommy Mysk at Talal Haj Bakry, na kilala sa kanilang mga pagsusuri sa privacy, ay naglathala ng isang ulat na nagdedetalye ng tatlong depekto sa WebKit , ang engine na ginagamit ng lahat ng browser sa iOS. Ang mga depektong ito ay nagpapahintulot sa isang malisyosong website na makuha ang iyong tunay na IP address nang hindi mo nalalaman, na ganap na nalalampasan ang Private Relay privacy tunnel. Naging viral ang balita nitong mga nakaraang oras, at kinilala na ng Apple na iniimbestigahan nito ang isyu, bagama't hindi pa ito nagbibigay ng timeline para sa isang solusyon.
Ang pinagmulan ng problema: mga passkey at iba pang ruta ng pagtakas
Ang pinakamalubha at pinakamahalagang depekto para sa karaniwang gumagamit ay ang mga passkey, ang lalong sumisikat na sistema ng pagpapatotoo na walang password . Kapag humiling ang isang website ng passkey, ang kahilingan ay hindi hinahawakan sa loob ng Safari browser; sa halip, direktang pinoproseso ito ng operating system ng device sa antas ng system. Ang prosesong ito, na gumagamit ng pamantayan ng WebAuthn, ay tumatakbo sa labas ng privacy tunnel na nilikha ng Private Relay, ibig sabihin ay madaling makikita ng humihiling na website ang totoong IP address ng device.
Ang isyu ay partikular na sensitibo dahil, gaya ng itinuturo ng mga mananaliksik, maaaring gayahin ng anumang website ang suporta para sa mga passkey upang pilitin ang kahilingang ito at makuha ang IP address ng bisita. Hindi kinakailangan ang pakikipag-ugnayan ng user, kaya isa itong tahimik na backdoor para sa pagsubaybay at pagkakakilanlan. Bukod pa rito, naidokumento ng mga mananaliksik ang dalawang karagdagang depekto sa WebKit na nagpapalala sa sitwasyon: ang DNS prefetching, na nagfi-filter ng mga query sa Domain Name System, at ang WebTransport, isang direktang protocol ng koneksyon na lumalampas din sa proxy.
Naglabas ang Mysk at Haj Bakry ng isang test website, ang leaks.psylo.app, kung saan maaaring suriin ng sinuman kung ang kanilang IP address ay natutunaw kahit na pinagana ang Private Relay. Kinumpirma ng mga pagsusuring isinagawa ng 404 na mamamahayag ng Media sa site na ito na ipinakita ng tool ang tunay na IP address ng isang user na, sa teorya, ay protektado ng serbisyo ng Apple.
Abutin ang saklaw sa iOS ecosystem at higit pa
Isa sa mga kakaibang katangian ng problemang ito ay hindi lamang ang Safari ang naaapektuhan nito. Dahil sa mga patakaran ng App Store, lahat ng browser na available sa iOS , tulad ng Chrome, Firefox, at Brave, ay kinakailangang gumamit ng WebKit engine. Nangangahulugan ito na ang kahinaan ay umaabot sa halos bawat browser sa system, kabilang ang mga opsyon na nakatuon sa privacy tulad ng Onion Browser, isang browser na kumokonekta sa Tor network. Kinumpirma ng mga mananaliksik na ang browser na ito ay dumaranas din ng mga IP leak at nakipag-ugnayan na sila sa mga developer nito upang makahanap ng mga solusyon.
Ang sitwasyong ito ay muling nagpasiklab ng debate tungkol sa katangian ng iCloud Private Relay. Hindi tulad ng isang tradisyonal na VPN, na nagpoprotekta sa lahat ng trapiko sa network sa device sa antas ng system, ang Private Relay ay kumikilos lamang sa trapikong dumadaan sa Safari. Ang madalas na nakaliligtaan na pagkakaibang ito ang ugat ng kasalukuyang problema. Iginiit ng mga eksperto na ang isang serbisyong tulad nito ay hindi dapat ituring na kapalit ng isang ganap na VPN , dahil ang saklaw nito ay mas limitado kaysa sa pinaniniwalaan ng maraming gumagamit.
Sa Europa at Espanya, ang sitwasyon ay partikular na mahalaga. Ang privacy ay isang pangunahing karapatan na protektado ng General Data Protection Regulation (GDPR), at ang Spanish Data Protection Agency (AEPD) ay isa sa mga katawan na aktibong nagmomonitor sa pagsunod sa mga regulasyong ito. Ang ganitong pagkabigo sa isang serbisyong ibinebenta bilang isang balwarte ng privacy ay maaaring magkaroon ng mga implikasyon sa regulasyon , lalo na kung mapapatunayan na ang functionality ay hindi nag-aalok ng ipinangakong antas ng proteksyon.
Tugon at mga rekomendasyon ng Apple
Kinumpirma ng Apple sa 404 Media na iniimbestigahan nito ang ulat ng mga mananaliksik, bagama't hindi pa ito nagbigay ng tiyak na petsa para sa pag-aayos. Sa security reporting portal na ginagamit ng mga mananaliksik, ang katayuan ng isyu ay nagpapahiwatig na ang pag-aayos ay pinaplano para sa taglagas ng 2026. Gayunpaman, ang nakaraang karanasan sa isang katulad na depekto sa serbisyong Hide My Email, na naglantad din ng data ng user at inabot ng mahigit isang taon bago nalutas, ay nagdudulot ng mga pagdududa tungkol sa bilis ng pagtugon.
Samantala, ang tanging paraan upang ganap na protektahan ang iyong IP address sa iOS ay ang paggamit ng system-level VPN . Halimbawa, ang mga serbisyong tulad ng ProtonVPN, Mullvad, o WireGuard ay maaaring protektahan ang lahat ng trapiko ng device, kabilang ang mga kahilingang nagmumula sa labas ng browser, tulad ng mga nauugnay sa mga passkey. Kinumpirma ng mga mananaliksik na pinoprotektahan ng isang tradisyonal na VPN ang lahat ng trapiko ng device, kabilang ang mga kahilingan sa passkey na nakakatakas sa privacy tunnel.
Nakatuon na ang atensyon ng komunidad ng seguridad sa isyung ito, at tama lang. Ang pagtagas ng mga totoong IP address ay maaaring magpahintulot sa mga network ng advertising at mga serbisyo sa pagsubaybay na iugnay ang pagkakakilanlan ng isang gumagamit sa kanilang aktibidad sa pag-browse, na ganap na magpapahina sa layunin ng Private Relay. Bagama't hindi pa nasasamantalahan nang malawakan ang kahinaan sa ngayon, ang katotohanan lamang na mayroong demo website at napatunayan ng mga internasyonal na media ang problema ay nagbibigay-diin sa kalubhaan ng sitwasyon.
Bilang konklusyon, mahalagang tandaan na ang insidenteng ito ay hindi ganap na nagpapawalang-bisa sa kapakinabangan ng iCloud Private Relay. Ang natitirang bahagi ng iyong pag-browse sa Safari ay nananatiling protektado ng double relay system, na pumipigil sa Apple at mga website na iugnay ang iyong IP address sa iyong aktibidad. Gayunpaman, ang pagkakaroon ng mga butas na ito, lalo na ang mga nauugnay sa mga passkey, ay nagpapakita na ang digital privacy ay isang patuloy na larangan ng digmaan kung saan ang tila matatag na mga solusyon ay maaaring magkaroon ng mga blind spot. Dapat malaman ng mga gumagamit ang mga limitasyong ito at, kung ang kanilang pinaghihinalaang banta ay mataas, isaalang-alang ang paggamit ng mga komplementaryong tool tulad ng VPN upang matiyak ang tunay na komprehensibong proteksyon. Ang pagtitiwala sa mga pangako sa privacy ay dapat na nakabatay sa isang tunay na pag-unawa sa kung paano gumagana ang mga teknolohiyang ito at kung ano ang kanilang mga limitasyon.