Исследователи Томми Мыск и Талал Хадж Бакри обнаружили критическую уязвимость в iCloud Private Relayi — платном сервисе Apple, заменяющем VPN для Safari. Проблема возникает, когда сайт заявляет о поддержке беспарольной авторизации по стандарту WebAuthn (Passkeys)i: в этот момент устройство iOS отправляет сетевой запрос не через Safari, а через встроенную системную службу учетных данных, минуя изолированные прокси-серверы Private Relay, — и сервер сразу видит настоящий IP-адрес пользователя.
Проблема опасна тем, что затрагивает не только Safari: по правилам Apple все сторонние браузеры на iOS (Chrome, Firefox, Edge и приватные браузеры) обязаны использовать движок WebKiti, поэтому уязвимость наследуют и они, включая OnionBrowser, что лишает анонимности пользователей Tor на мобильных устройствах.