iCloud Private Relay 爆旁路洩 IP：passkey 冇撳過都可能中招
WebAuthn 系統請求繞過 Safari，Apple 仲喺度調查
問題出喺代理路線以外
iCloud Private Relay 正常會將 Safari 網頁請求分兩程轉送：Apple 處理第一程，合作夥伴處理第二程，網站最後收到嘅係臨時 IP。咁樣任何一方都唔會同時知道用戶身份同瀏覽目的地。不過佢唔係包起全部裝置流量嘅 VPN，保護範圍主要係 Safari 瀏覽同部分冇加密連線。今次問題正正出喺呢條界線：普通頁面仍然經轉送，但幾類由 WebKit 或作業系統另外開出嘅連線就直接連出去。
圖片：Apple
冇撳 passkey 都可以觸發
最值得擔心嗰條旁路同 WebAuthn「Related Origin Requests」有關。呢個功能原意係畀同一機構旗下幾個網域共用 passkey；當網頁申請使用另一個網域嘅憑證，作業系統憑證服務會先向指定網域攞一份驗證檔案。Mysk 研究員發現，呢個 HTTPS 請求唔經 Safari 本身嘅網絡堆疊，自然亦冇入 Private Relay。網站仲可以用 conditional mediation 喺背景觸發，毋須彈出 Face ID、Touch ID 或 passkey 視窗，所以用戶未必察覺。
呢度要分清楚風險：網站攞到嘅係真實 IP，唔係 passkey 私鑰、登入憑證或者裝置密碼。Passkey 本身嘅防釣魚設計冇俾人拆走。不過 IP 可以反映大概地區、網絡供應商，又可以配合 cookie、瀏覽器指紋或者廣告識別資料串連活動。對一般人未必等同身份即時曝光，但對依賴 Private Relay 隱藏位置、避開跨站追蹤，甚至有較高匿名需要嘅人，保護就明顯穿咗窿。
iPhone、iPad 同 Mac 邊啲情況要小心
Mysk 指 WebAuthn 呢條路由 iOS 18.0 起出現；Apple 嘅 WebKit 文件亦顯示 Related Origin Requests 隨 Safari 18 登場，涵蓋 iOS 18、iPadOS 18 同 macOS Sequoia 嗰代平台。研究員同時話問題影響 iOS、macOS 上嘅 WebKit 代理瀏覽器，不過 Apple 仲未公布完整受影響版本表，所以暫時唔應斷言每個 Safari 18 組合都完全一樣。只要開住 Private Relay，再用 Safari 瀏覽可觸發相關 WebAuthn 請求嘅網站，就有機會洩漏真實 IP。
另外仲有兩條旁路。DNS prefetch 可以令裝置經正常 DNS 路線預先查詢網域，研究員指 iOS 26.0 起手機版 WebKit 會處理呢類標記；WebTransport 就由 Safari 26.4 加入，會直接開 HTTP/3／QUIC 連線，server 因而可能見到真實 IP。前者主要洩漏實際 DNS 路線，後者就同 WebAuthn 一樣可以漏 IP。三個問題嘅觸發版本唔同，唔可以籠統講成所有 iCloud 或 Safari 流量一直外洩。
換瀏覽器未必幫到手
喺 iPhone 同 iPad，第三方瀏覽器仍然用 WebKit，而 Private Relay 本身亦唔會保護 Chrome、Firefox 等 app 嘅一般瀏覽流量。至於用 WebKit 代理 API 自建保護路線嘅瀏覽器，Mysk 指 Psylo 同 Onion Browser 呢類產品同樣可能受旁路影響；Psylo 1.3.1 已預設封鎖 DNS prefetch，亦關閉 WebAuthn 同 WebTransport，等用戶按網站逐項開返。404 Media 引述 Onion Browser 開發者話其中兩項問題只能等 Apple 處理，預設保安設定就可擋住 WebTransport 嗰項。
修補前點減低風險
TechNews 科技新報報道，Apple 已確認正調查研究員提交嘅報告；404 Media 亦用研究員工具重現真實 IP 外洩。不過截至 8 月 6 日，Apple 未有保安公告、受影響版本清單或者修補時間。對匿名要求高、會處理敏感資料，或者唔想網站知道實際網絡位置嘅用戶，暫時較實際嘅做法係用可信 VPN，因為 VPN 喺系統網絡層接管流量，研究員指今次三條 WebKit 旁路唔受影響。揀 VPN 亦等於改為信任供應商，免費或來歷不明服務唔值得冒險。
唔建議隨便開公開測試頁「自測」，因為測試本身就要接收訪客 IP，未知營運者會點保存資料。日常使用可以先保持系統同 Safari 更新，亦唔好誤以為開咗 Private Relay 就等同全機匿名。而家要等 Apple 交代點樣修補。按研究員披露，WebAuthn 嗰條連線由系統憑證服務發出，所以修補可能唔只涉及 WebKit，亦要處理作業系統層嘅網絡路由。
參考來源
- TechNews 科技新報 — 標榜隱私保護卻暗藏漏洞，蘋果 iCloud 私密轉送被爆洩漏真實 IP — original report
- IP and DNS Leaks in WebKit Affecting Proxy Browsers and Apple iCloud Private Relay — 研究員原始技術披露，列出 WebAuthn、DNS prefetch、WebTransport 嘅觸發方式同版本資料。
- Apple’s ‘Private Relay’ Is Exposing Users’ Real IP Addresses — 媒體獨立重現漏洞，亦載有 Apple 同 Onion Browser 開發者回應。
- About iCloud Private Relay — Apple 官方解釋 Private Relay 雙重轉送架構同原定保護範圍。
- WebKit Features in Safari 18.0 — 確認 Related Origin Requests 隨 Safari 18 加入，同當代 Apple 平台版本背景。
- WebKit Features for Safari 26.4 — 確認 Safari 26.4 正式加入 WebTransport。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
