iCloud Private Relay 可俾網站靜默繞過：passkey 點樣漏出真實 IP

圖片：via MacRumors — https://www.macrumors.com/2026/08/05/icloud-private-relay-ip-address-leak/

TechLab 編輯部（譯）·2026-08-05

Passkey 驗證走咗另一條連線路徑，Apple 仲喺調查

網站唔使等你登入

用緊 iCloud+ 嘅 Safari 用戶要留意：安全研究員 Tommy Mysk 同 Talal Haj Bakry 發現，網站可以借 WebAuthn passkey 功能，喺冇彈出登入介面、冇要求你撳任何掣嘅情況下，直接連去指定 server，取得裝置真實 IP。MacRumors 引述 404 Media 報道，Apple 已知悉事件，現正調查，不過截至香港時間 8 月 6 日，Apple 仲未確認成因、受影響系統清單或者修補時間。

Apple 圖解 Safari 連線點樣經兩重 iCloud Private Relay 再去目的網站

圖片：Apple

Private Relay 保護範圍本身有限

Private Relay 從來都只係 iCloud+ 入面針對 Safari 瀏覽、DNS 查詢同部分未加密 app 流量嘅私隱服務。正常情況下，連線會經兩重 relay：Apple 知道用戶 IP 但睇唔到目的網站，第二個供應商就知道目的網站但攞唔到真實 IP。網站最後只會見到臨時 IP。其他 app 流量、遊戲、視像通話同大部分系統連線，本身已經唔喺呢個承諾之內，所以一直都唔應該當佢係全裝置 VPN。

Passkey 點解會開到缺口

Passkey 背後用 WebAuthn。如果一間公司想喺幾個相關網域共用同一組 passkey，系統會向指定 rpId 下載一份 /.well-known/webauthn 驗證檔案。問題係呢個要求由 Apple 操作系統嘅憑證服務發出，冇行 Safari 平時嗰條 Private Relay 路徑。研究員話，網站仲可以配合 conditional mediation，令要求喺背景執行，全程冇介面提示。目的 server 收到連線時，自然會見到裝置原本嘅 IP。

呢度要分清楚：研究暫時冇顯示 passkey 私密金鑰、帳戶密碼或者登入資料俾人偷走。曝露嘅係 IP 呢類連線 metadata，足以推斷大概地區、電訊商或者公司連線，亦可以同網站原有追蹤資料拼埋一齊。對普通新聞網站可能只係多一個追蹤訊號；至於記者、研究人員、公司內部用戶或者靠隱藏來源連線保障身份嘅人，後果可以嚴重好多。

仲有 DNS prefetch 同 WebTransport

Mysk 同 Haj Bakry 亦搵到兩條 WebKit 路徑。iOS 26.0 加入嘅 DNS prefetch 可以繞過 proxy，用裝置原本嘅 DNS 路徑預先查詢網站；iOS 26.4 開放嘅 WebTransport 就可以用 HTTP/3／QUIC 直接連線，曝露真實 IP。三個問題指向同一個設計盲點：Private Relay 保護咗標準網頁載入流程，但 WebKit 或系統服務另外開出嘅連線，未必自動跟返同一套私隱規則。

Safari 同第三方瀏覽器點受影響

Private Relay 自己主要保護 Safari，唔好以為 iPhone 版 Chrome、Edge 或 Firefox 會自動得到同一層保障。研究報告講嘅第三方影響，主要係 iOS 同 macOS 上用 WebKit app-level proxy 嘅瀏覽器，例如部分 Tor 瀏覽器同 Psylo；呢類 app 原本想將所有網頁流量送去自家 proxy，三項 WebKit 功能卻可以另開直連。Psylo 已喺 1.3.1 預設封鎖相關功能，但呢個修補只屬 Psylo 自己，唔代表 Apple 已修好 WebKit 或 Private Relay。

香港用戶可以點檢查

Apple 官方供應清單確認 Private Relay 喺香港可用。iPhone 或 iPad 可以入「設定」＞你嘅 Apple Account＞「iCloud」＞「Private Relay」，Mac 就喺「系統設定」＞Apple Account＞「iCloud」確認有冇開啟。研究員亦公開咗測試頁，但個測試本身就係要令佢哋嘅 server 睇到你嘅真實 IP；接受呢個取捨先好開，唔好用公司、敏感機構或者想保持匿名嘅連線測試，仲唔好隨便分享包含 IP 嘅截圖。

修補前用 VPN，有效但有代價

研究員指，全裝置 VPN 會喺系統層處理連線，一般可以擋住今次提到嘅三種 WebKit 繞過方式；不過實際保障仍要睇 VPN 設定；不過瀏覽器內置 proxy、單一 app proxy或者換另一個 WebKit 瀏覽器，保障就未必夠。揀 VPN 亦等於改為信任 VPN 供應商，對方可能掌握連線 metadata，速度、耗電、本地內容、公司系統同銀行 app 都可能受影響，Private Relay 亦未必會同 VPN 疊加運作。真係有匿名需要，就要用可信嘅全裝置 VPN，再自行核對連線出口。

Apple 最新公開版 iOS／iPadOS 26.6 同 macOS Tahoe 26.6 喺 7 月 27 日推出，時間早過研究公開，官方安全文件亦冇列出相符修補。現階段唔應該假設更新到 26.6 就安全；下一步要睇 Apple 會點處理系統憑證服務、WebTransport 同 DNS prefetch 嘅連線規則。披露：本文由 AI 協助整理資料，發布前須經人手核對同編輯。

參考來源