Appleのプライバシー保護機能「iCloudプライベートリレー」で、利用者の実際のIPアドレスがウェブサイト側に伝わる可能性があることが分かりました。特定の通信が保護機能を通らず、端末から直接送られる場合があると報じられています。
iCloudプライベートリレーは、有料サービス「iCloud+」に含まれる機能です。Safariでウェブサイトを見る際の通信を中継し、利用者のIPアドレスや詳しい位置情報を相手側から分かりにくくします。
IPアドレスとは、インターネットに接続している端末に割り当てられる識別番号です。自宅や勤務先のおおまかな地域、利用している通信会社などを推測する手がかりになる場合があります。
404 Mediaによると、セキュリティ研究者が、Safariなどで使われる一部の通信がプライベートリレーを経由しない問題を確認しました。ウェブサイトの読み込みを速くするための事前通信や、パスキーによるログイン確認、高速なデータ通信などが対象とされています。
このうちパスキーは、パスワードの代わりに顔認証や指紋認証を使ってログインする仕組みです。研究者は、悪意のあるウェブサイトがこの仕組みに関係する通信を利用し、利用者が特別な操作をしなくても実際のIPアドレスを確認できる可能性があると説明しています。
404 Mediaも検証用のウェブサイトを使い、プライベートリレーを有効にした状態で実際のIPアドレスが表示されることを確認したとしています。
ただし、プライベートリレーの保護機能がすべて無効になるわけではありません。通常のウェブ閲覧では引き続き通信が中継されますが、特定の仕組みを使うサイトでは保護を回避される可能性があります。
Appleは研究者からの報告を受け、問題を調査しているとしています。