보안 연구원인 Tommy Mysk와 Talal Haj Bakry에 따르면 IP를 마스킹하는 Apple의 유료 Safari 보호 기능이 항상 작동하는 것은 아닙니다. iCloud Private Relay는 암호키를 사용하거나 사용하는 척하는 웹사이트에 실제 IP를 노출할 수 있는 것으로 나타났습니다.
iCloud Private Relay는 유료 iCloud+ 요금제에 포함된 서비스입니다. Safari를 사용하여 웹을 탐색할 때 IP 및 DNS 정보를 숨겨야 하지만 장치의 모든 트래픽을 숨기는 VPN은 아닙니다. 암호키는 Safari 브라우저가 아닌 장치에 개인 키를 저장하는 WebAuthn 표준을 사용합니다. 시스템이 웹사이트로 보내는 요청은 Private Relay로 보호되지 않으며 IP 주소가 유출될 수 있습니다.
WebKit은 WebAuthn 의식을 운영 체제의 자격 증명 서비스에 전달합니다. 그러면 호스트 앱이 구성한 프록시를 인식하지 못하고 장치에서 직접 HTTPS 요청 자체를 발행합니다. 페이지는 rpId를 선택한 호스트로 설정할 수 있으며 사용자 상호 작용 없이도 가져오기가 실행됩니다. 조정을 사용하면 "조건부"이고 UI가 표시되지 않습니다. […]
가져오기는 Safari가 아닌 운영 체제의 자격 증명 서비스에 의해 실행되므로 Private Relay의 프록시 경로에 들어 가지 않습니다. 대상 서버는 어느 쪽이든 장치의 실제 IP 주소를 확인합니다.
WebKit은 WebAuthn 의식을 운영 체제의 자격 증명 서비스에 전달합니다. 그러면 호스트 앱이 구성한 프록시를 인식하지 못하고 장치에서 직접 HTTPS 요청 자체를 발행합니다. 페이지는 rpId를 선택한 호스트로 설정할 수 있으며 사용자 상호 작용 없이도 가져오기가 실행됩니다. 조정을 사용하면 "조건부"이고 UI가 표시되지 않습니다. […]
가져오기는 Safari가 아닌 운영 체제의 자격 증명 서비스에 의해 실행되므로 Private Relay의 프록시 경로에 들어 가지 않습니다. 대상 서버는 어느 쪽이든 장치의 실제 IP 주소를 확인합니다.
누군가의 보호된 IP를 찾으려는 공격자는 WebAuthn을 사용하는 웹사이트를 설정하여 이를 수행할 수 있습니다. 눈에 보이는 암호 키 프롬프트가 없으며 IP 주소가 백그라운드에서 액세스되었다는 다른 표시도 없습니다.
연구원들은 또한 IP 주소와 DNS 데이터를 유출할 수 있는 두 가지 다른 WebKit 기능도 발견했습니다. DNS 프리페칭(iOS 26에 추가됨)은 사용자의 실제 DNS 서버를 드러내고, WebTransport(iOS 26.4에 추가됨)는 IP 주소를 드러낼 수 있습니다.
Apple은 404 Media에 이 보고서를 조사 중이라고 말했습니다.
Mysk와 Haj Bakry는 Apple 서비스가 귀하의 IP 주소를 유출하는지 여부를 테스트할 수 있는 웹사이트를 만들었습니다. 이 문제는 WebKit 작동 방식에 영향을 미치기 때문에 일부 타사 브라우저도 영향을 받습니다. Apple은 이 문제를 해결해야 하며 그 동안 사용자는 더 많은 보호를 위해 VPN을 선택할 수 있습니다.
