Appleの「Private Relay」でIPアドレスが漏洩する欠陥が発覚#
Appleが提供するプライバシー機能「Private Relay」に、ユーザーの本当のIPアドレスを露出させてしまう複数の欠陥が存在することが、セキュリティ研究者によって明らかになった。
Private Relayとは？#
Private Relayは、SafariでインターネットをブラウジングするときにユーザーのIPアドレスを隠すことを目的としたオプトイン機能（ユーザーが自ら有効にする機能）だ。利用できるのはiCloud+の有料サブスクライバーのみに限られており、Safariを使用している間のみ機能する。
ここで重要な点として、Private RelayはVPN（バーチャル・プライベート・ネットワーク）とは異なる。VPNはシステムレベルでIPアドレスを保護するのに対し、Private RelayはあくまでもSafariブラウザ内での利用に特化した機能だ。
何が問題なのか？#
研究者のTalal Haj BakryとTommy Myskは、ブログ記事の中でこの問題を詳細に報告した。彼らによると、問題の根本はAppleのウェブブラウザエンジン「WebKit」内の3つの機能にあるという。WebKitはiOS上のすべてのブラウザで使用されているエンジンであり、影響範囲は広い。
これらの欠陥により、Private Relayが有効になっていても、その保護が回避されてユーザーの実際のIPアドレスが外部に漏れてしまう可能性がある。
TechCrunchは実際に研究者らが公開した検証用ウェブサイトでテストを行い、Private Relayを使用していても実際のIPアドレスが表示されることを確認している。このウェブサイトは誰でもアクセスして自分のIPアドレスが漏洩しているか確認できる。なお、この問題はもともと404 Mediaによって最初に報じられたものだ。
なぜAppleに報告しなかったのか？#
注目すべき点として、研究者のMyskはX（旧Twitter）への投稿の中で、今回の問題をAppleに報告しないことを選択した理由を明かしている。
彼らの過去の経験から、Appleへの報告には「数ヶ月にわたる遅延」「一貫性のないコミュニケーション」、そして「問題の影響を完全に否定するケース」が伴うことがあったためだという。
本件についてAppleはTechCrunchからのコメント要請に対して、記事公開時点で回答していない。
研究者が開発したブラウザには対策済み#
Myskと彼の同僚たちは「Psylo」というプライベートブラウザを開発しており、このブラウザには今回の欠陥によるIPアドレス漏洩を防ぐための緩和策（ミティゲーション）がすでに実装されていると述べている。
このニュースが重要な理由#
Private Relayはオンラインプライバシーを強化したいiCloudユーザーが信頼して利用している機能だ。しかし今回の報告により、その保護が意図通りに機能していない可能性が示された。特に以下の点が注目に値する。
- iCloud+ユーザーへの直接的な影響：有料サービスを利用しているにもかかわらず、期待されたプライバシー保護が得られていない可能性がある
- WebKit経由でiOS全ブラウザに影響：WebKitはiOS上のすべてのブラウザが使用するエンジンであるため、影響の範囲が広い
- Appleの脆弱性報告プロセスへの疑問：研究者が意図的にAppleへの報告を避けた背景は、セキュリティコミュニティとAppleの関係性について一石を投じる
まとめ#
AppleのPrivate Relayに存在する欠陥により、ユーザーの実際のIPアドレスが漏洩するリスクがあることが明らかになった。この問題はWebKitの3つの機能に起因するものであり、研究者はAppleへの報告を行わず公開という形を選択した。現時点でAppleからの公式なコメントは出ていない。
筆者の見解: 今回のケースは、プライバシー機能を有効にしているからといって完全に安心できないという現実を改めて示している。特にiCloud+を契約してPrivate Relayを利用しているユーザーは、研究者が公開した検証サイトで自身の環境を確認することを検討してみてはいかがだろうか。詳細な技術情報については元記事を参照されたい。
出典: PSA: Apple’s Private Relay can leak your real IP address
