Omtaler Apples-funksjon som «kritisk»

Apple iCloud Private Relay skal skjule brukerens IP-adresse i Safari, men sikkerhetsforskere har funnet flere WebKit-lekkasjer som i enkelte tilfeller kan avsløre IP-adressen. Problemet kan også påvirke enkelte Tor-baserte nettlesere på iPhone.

" data-large-file="https://static.itavisen.no/wp-content/uploads/2026/08/screenstabbed_1785960862043_result-1113x720.webp" />

Apple markedsfører iCloud Private Relay som en funksjon som skjuler IP-adressen din når du bruker Safari, men nå har sikkerhetsforskere avslørt at flere WebKit-funksjoner kan omgå beskyttelsen og avsløre IP-adressen, og det er mer.

Det er lett å lure Apple sin iCloud Private Relay til å avsløre ekte IP-adresser

Problemet rammer ikke bare iCloud Private Relay, men også enkelte proxy-baserte nettlesere på iPhone og iPad inkludert noen Tor-løsninger. Årsaken er at de aller fleste nettlesere må bruke Apple WebKit. Merk: iCloud Private Relay aldri har vært en fullverdig VPN, og fungerer kun med Safari – apper og annen nettverkstrafikk går fortsatt direkte, og å betale for iCloud+ er et krav.

Det er forskerne Talal Haj Bakry og Tommy Mysk som oppdaget tre separate lekkasjer i Apples WebKit-motor. WebKit er nettlesermotoren alle nettlesere på iOS må bruke på grunn av Apples App Store-regler.

Ifølge forskerne kan disse funksjonene omgå en konfigurert proxy og avsløre informasjon om brukerens faktiske nettverk.

WebAuthn kan avsløre IP-adressen

Den mest alvorlige lekkasjen handler om WebAuthn, teknologien bak passordløse innlogginger, altså passnøkler. Det eneste som skal til er å besøke en nettside som tilbyr, eller som later som den tilbyr passnøkler, da avsløres den ekte IP-adressen.

Mer teknisk: når en nettside bruker en funksjon kalt «Related Origin Requests», kan OS-ets egen tjeneste hente en valideringsfil direkte fra en server. Problemet er at denne forespørselen ikke sendes gjennom Safari eller Private Relay. Dermed kan serveren se brukerens ekte IP-adresse.

«Fordi forespørselen sendes av operativsystemets legitimasjonstjeneste og ikke Safari, går den aldri gjennom Private Relays proxyrute,» skriver de. En nettside trenger heller ikke nødvendigvis vise en innloggingsboks eller be brukeren gjøre noe aktivt for at forespørselen skal skje.

Apple avslørt – Skjuler ikke e-posten din

Tor omtaler feilen som kritisk

Forskerne fant tre funksjoner i WebKit som kan omgå proxy-beskyttelsen: DNS-prefetching, WebAuthn og WebTransport.

Vanlige VPN-tjenester påvirkes ikke, fordi de fungerer på systemnivå og sender all trafikk gjennom en kryptert tunnel. Problemet gjelder hovedsakelig nettlesere som bruker WebKit-proxyfunksjoner, og som nevnt, fordi alle nettlesere på iPhone må bruke Apples WebKit-motor, kan også enkelte Tor-baserte nettlesere være berørt.

Forskjellen er at en VPN beskytter hele enhetens nettverkstrafikk, ikke bare Safari-trafikk. Les mer i vår guide til hva en VPN er og hvordan det fungerer.

Forskerne sier de har varslet Tor Project og utviklerne bak Onion Browser. Tor Project skal ha omtalt funnet som kritisk.

Mysk-teamet har allerede løst problemene i sin egen nettleser Psylo 1.3.1 ved å blokkere DNS-prefetching og deaktivere WebTransport og WebAuthn som standard.