Appleは、iCloudプライベートリレー(新しいウィンドウ)を、お客様のIPアドレスを公開することなくウェブを閲覧する方法として売り込んでいます。しかし、404 Mediaによる新しいレポート(新しいウィンドウ)は、その約束が果たされていないことを示しています。
セキュリティ研究者のTommy Mysk氏とTalal Haj Bakry氏(新しいウィンドウ)は、すべてのiOSブラウザを支えるブラウザエンジンであるWebKitに潜む欠陥を発見し、誰でも自分のデバイスがさらされているかどうかをテストできるチェッカーサイト(新しいウィンドウ)を構築しました。404 Mediaがそのチェックを実行し、エクスプロイトが機能することを確認しました。
漏洩の仕組み
欠陥の一つは、パスワードに代わるログイン規格であるパスキーに関するものです。サイトがパスキーをサポートしている（またはサポートしていると主張しているだけである）場合、お客様のデバイスはSafari経由ではなく、オペレーティングシステムを介して資格情報の要求を行います。その要求はプライベートリレーのプロキシを完全にスキップする(新しいウィンドウ)ため、画面上はすべて正常に保護されているように見えても、サイト側にはお客様の実際のIPアドレスが表示されてしまいます。
すべてのiOSブラウザがWebKitで動作しているため、この問題はTorを介してトラフィックをルーティングするために構築されたアプリであるOnionBrowser(新しいウィンドウ)にも影響を及ぼします（公式のTor Browser(新しいウィンドウ)は影響を受けません）
Appleは調査中であるとしており、OnionBrowserの開発者は404 Mediaに対し、Appleがこの問題を「極めて深刻」と呼び、修正のスケジュールは示していない(新しいウィンドウ)と語りました。
二か月間で二度目となる、Appleのプライバシーツールの不具合
七月、404 Mediaは、Appleの使い捨てエイリアス機能であるHide My Emailが、一年以上にわたってユーザーの実際のメールアドレスを露出させていた(新しいウィンドウ)と報じました
Appleは、実際にパッチを適用する前に、このバグを二度修正したと主張していました。その欠陥とは、非表示のエイリアスへのメッセージが、たとえ正当なものであっても迷惑メールとしてバウンスされた場合、実際のメールアドレスが差出人のメールログに漏洩する可能性があり、ユーザーがそれを知る手段がないというものでした。
有料のiCloudプライバシー機能が機能しなかったのはここ二か月で二度目のことであり、いずれも外部の研究者によって発見されました。これは、私たちがこれまで書いてきた、検証に耐えられないAppleのiPhoneプライバシーに関する主張と一致しています。
プライベートリレーはVPNの代わりにはなりません
プライベートリレーはSafariのみを保護し、デバイス全体を保護するわけではありません。専用のVPNはデバイスのすべてのトラフィックを暗号化するため、実際のIPアドレスが訪問先のサイトに届くことはありません。そのため、プライベートリレーを有効にしていても、信頼できるVPNを使用することが依然として重要なのです。例えば、Proton VPNのアプリはオープンソースであり、独立した監査を受けています。
同じ論理がメールにも適用されます。実際のメールアドレスを明かすことなくサービス等にサインアップしたい場合、Proton Mailのhide-my-emailエイリアスを使用すれば、まさにそれを実現できます
プライバシー機能の価値は、自らの過ちを発見して修正する企業の姿勢次第です。Appleは長年にわたり、「iPhoneで起きたことは、iPhoneにとどまる」(新しいウィンドウ)と約束し続けてきました
しかし、この二か月間で二度、それが事実ではないことが証明されました。
