Apple Private Relay ma dziurę - twoje IP może wyciec przez passkey
Badacze bezpieczeństwa odkryli, że funkcja Private Relay w iCloud+ nie chroni adresu IP użytkownika podczas logowania przez passkey - problem leży w WebKit i dotyczy wszystkich przeglądarek na iOS.
👁 126 przeczytań
Funkcja prywatności, która nie działa w kluczowym momencie, jest gorsza od jej braku - bo daje fałszywe poczucie bezpieczeństwa. To właśnie problem z Apple Private Relay, który wyszedł na jaw 5 sierpnia 2026 roku za sprawą badaczy Talala Haj Bakry’ego i Tommy’ego Myska.
Co miało działać, a nie działa
Private Relay to funkcja dostępna w ramach subskrypcji iCloud+. Jej obietnica jest prosta: kiedy przeglądasz internet w Safari, żadna witryna - ani nawet samo Apple - nie powinna znać twojego prawdziwego adresu IP. Brzmi elegancko. Problem w tym, że passkey, czyli bezhasłowa metoda logowania, którą branża technologiczna od kilku lat intensywnie promuje jako następcę tradycyjnych haseł, całkowicie to psuje.
Zobacz wpis na X
Jak wyjaśniają badacze w poście na platformie X, podczas logowania przez passkey urządzenie wykonuje żądanie uwierzytelniające poza przeglądarką. I tu leży sedno: Private Relay to funkcja przypisana do Safari, nie do całego systemu. Nie działa jak prawdziwy VPN, który maskuje ruch na poziomie całego urządzenia. Wystarczy jeden krok poza przeglądarkę, by ochrona przestała istnieć.
Problem szerszy niż Safari
Gdyby dziura dotyczyła wyłącznie Safari, można by to zbagatelizować jako drobną nieścisłość w dokumentacji. Ale Mysk i Haj Bakry pokazują coś ważniejszego: luka tkwi w WebKit, silniku przeglądarki, którego Apple wymaga od wszystkich aplikacji przeglądarkowych na iOS. Oznacza to, że problem dotyczy również przeglądarek zaprojektowanych z myślą o prywatności - OnionBrowser i autorskiego Psylo.
To szczególnie ironiczne. Ktoś, kto świadomie omija Safari i sięga po OnionBrowser właśnie po to, by ukryć swój ślad w sieci, i tak może zostać zidentyfikowany przez stronę, do której loguje się passkey’em. Badacze poinformowali już OnionBrowser i Tor Project o znalezisku i możliwych rozwiązaniach.
Rok na łatkę to nie jest akceptowalny standard
Apple potwierdziło serwisowi 404Media, że bada raport badaczy. Ale samo to zdanie - bez terminu, bez szczegółów - mało co znaczy. Historia daje powody do niepokoju.
Badacze przywołują konkretny precedens: inna luka w iCloud, dotycząca funkcji Hide My Email, została odkryta przez inny zespół w połowie 2025 roku. Funkcja miała ukrywać prawdziwy adres e-mail za aliasem; w rzeczywistości potrafiła ten prawdziwy adres ujawnić. Apple wypuściło łatkę dopiero rok później.
„Re: Responsible Disclosure. Znaleźliśmy się w trudnej sytuacji z tymi wyciekami DNS i IP w WebKit i tym, jak odpowiedzialnie sobie z nimi poradzić. Po raz pierwszy dowiedzieliśmy się o wycieku DNS w Psylo pod koniec czerwca 2026 roku, po tym jak zgłosił go użytkownik.”
- Tommy Mysk, w poście na X z 5 sierpnia 2026
Rok. Tyle czasu minęło między odpowiedzialnym ujawnieniem a naprawą błędu, który kompromitował prywatność użytkowników korzystających z Hide My Email właśnie dlatego, że im zależy na anonimowości. W tym czasie każdy, kto ufał tej funkcji, był potencjalnie narażony - i nie wiedział o tym.
Google · Twoje źródłaPromptowy wyżej w Twoim Google - jednym kliknięciemDodaj do preferowanych źródeł →Funkcja premium, która działa jak placebo
Jest w tym coś więcej niż tylko błąd techniczny. Apple przez lata budowało swoją pozycję rynkową na narracji o prywatności. Plakaty na lotniskach, kampanie reklamowe, przemówienia na WWDC - prywatność stała się dla Apple tym, czym dla Nike jest „Just Do It”. Hasłem, marką, obietnicą.
Private Relay jest częścią iCloud+, czyli płatnej subskrypcji. Użytkownik płaci realną cenę za realną ochronę - przynajmniej tak mu się zdaje. Tymczasem ochrona ma dziurę w jednym z bardziej nowoczesnych scenariuszy logowania, czyli dokładnie tam, gdzie powinna działać najnowocześniej.
Nie twierdzę, że Apple celowo wprowadza w błąd. Ale tempo reakcji na tego rodzaju odkrycia mówi coś o priorytetach. Gdy firma spędza rok na łataniu funkcji prywatności, wysyła sygnał: marketing tej funkcji był ważniejszy niż jej inżynieria.
Passkey to nie egzotyczny scenariusz - to kierunek, w którym cała branża zmierza. Google, Microsoft, Apple - wszyscy promują bezhasłowe logowanie jako bezpieczniejszą przyszłość. Jeśli właśnie w tym miejscu prywatność się sypie, a naprawa zajmuje rok, to pytanie o Private Relay staje się pytaniem o coś szerszego: ile kosztuje naprawdę działająca prywatność w ekosystemie, w którym jedynym dostępnym silnikiem przeglądarki jest ten, który sam Apple kontroluje i sam zaniedbuje?
Cały tydzień w AI, w jednym mailu
Wybrane premiery, narzędzia i analizy. Raz w tygodniu, prosto do skrzynki.
Zapisz się za darmo →
