Утечка DNS и IP в iOS: WebKit обходит ваши прокси даже при включенном iCloud Private Relay

Исследователи из mysk.blog обнаружили, что WebKit — обязательный движок всех браузеров на iOS — отправляет DNS-запросы и раскрывает реальный IP-адрес до установления прокси-туннеля. iCloud Private Relay не защищает от этого поведения.

Техническая проблема

Исследователи с mysk.blog задокументировали утечку в WebKit (движке рендеринга, который Apple навязывает всем браузерам на iOS/iPadOS через правила App Store): в некоторых сетевых конфигурациях WebKit отправляет DNS-запросы или устанавливает TCP-соединения до активации настроенного прокси, тем самым раскрывая:

• Реальный IP-адрес устройства сторонним серверам
• Доменные имена загружаемых ресурсов (утечка DNS)

Это поведение обходит iCloud Private Relay (функцию конфиденциальности сети от Apple для подписчиков iCloud+) и вручную настроенные VPN и прокси.

Масштаб проблемы

Кого это затрагивает:

• Любых пользователей iOS/iPadOS, использующих VPN или прокси для конфиденциальности
• Абонентов iCloud+, полагающихся на Private Relay для сокрытия IP
• Приложения, использующие WKWebView (стандартный компонент WebKit для веб-представлений в iOS-приложениях)

Что может быть раскрыто:

• Реальный IP-адрес устройства, переданный промежуточным DNS-серверам
• Доменные имена загружаемых ресурсов, раскрытые вне туннеля

Утечка частичная и условная — она не затрагивает все запросы, а только определённые типы загрузки ресурсов. Однако этого достаточно, чтобы поставить под угрозу сетевую конфиденциальность в чувствительных контекстах.

Контекст iOS: один движок для всех

На Android Chrome использует Blink, Firefox — Gecko. На iOS все браузеры — Chrome, Firefox, Brave, Opera, DuckDuckGo — обязаны использовать WebKit по правилам App Store. Ошибка в WebKit затрагивает одновременно 100 % браузеров на iOS, независимо от разработчика.

Apple ввела частичное исключение для альтернативных браузеров в Европейском союзе (DMA, 2024), но большинство пользователей iOS в мире по-прежнему зависят от WebKit.

Что делать

Пользователям:

• Не рассматривать iCloud Private Relay как абсолютную защиту анонимности — он снижает отслеживаемость, но не заменяет VPN
• Установить ближайшее обновление iOS/iPadOS (патч будет выпущен через обновление WebKit)
• Для высококонфиденциального использования на iOS сочетать VPN + активный мониторинг сетевого трафика

Разработчикам:

• Тестировать WKWebView с активным прокси и инструментом для захвата трафика (Charles Proxy, mitmproxy), чтобы выявлять запросы вне туннеля
• Убедиться, что компоненты WebView не выполняют prefetch/preconnect-запросы до установки сетевых конфигураций