كان وعد خدمة iCloud Private Relay واضحًا: إخفاء عنوان IP الحقيقي أثناء التصفح باستخدام Safari لمنع المواقع الإلكترونية من تتبعك. مع ذلك، كشفت أبحاث حديثة أن هذه الحماية ليست فعّالة دائمًا. فقد وجد فريق من خبراء الأمن عدة طرق لكشف عنوان IP الخاص بك ، حتى مع تفعيل الخدمة. المشكلة أخطر مما تبدو عليه، لأنها تؤثر على جميع المتصفحات على نظامي iOS وmacOS، وقد أثارت بالفعل قلقًا بالغًا بين المستخدمين.
نشر الباحثان تومي ميسك وطلال حاج بكري، المعروفان بتحليلاتهما لخصوصية البيانات، تقريرًا يُفصّل ثلاث ثغرات في WebKit ، المحرك المستخدم في جميع متصفحات نظام iOS. تسمح هذه الثغرات لمواقع الويب الخبيثة بالحصول على عنوان IP الحقيقي الخاص بك دون علمك، متجاوزةً بذلك نفق الخصوصية Private Relay. انتشر الخبر بسرعة كبيرة في الساعات الأخيرة، وقد أقرت شركة آبل بأنها تُجري تحقيقًا في المشكلة، إلا أنها لم تُحدد موعدًا لإصلاحها.
أصل المشكلة: مفاتيح المرور وطرق الهروب الأخرى
تكمن أخطر عيوب هذه التقنية وأكثرها أهمية للمستخدم العادي في نظام المصادقة بدون كلمة مرور، وهو نظام شائع الاستخدام . فعندما يطلب موقع ويب رمز مرور، لا تتم معالجة الطلب داخل متصفح سفاري، بل يقوم نظام تشغيل الجهاز بمعالجته مباشرةً على مستوى النظام. وتتم هذه العملية، التي تستخدم معيار WebAuthn، خارج نطاق الحماية الذي يوفره Private Relay، مما يعني أن موقع الويب الطالب يمكنه بسهولة رؤية عنوان IP الحقيقي للجهاز.
تُعدّ هذه المسألة حساسة للغاية، إذ يُشير الباحثون إلى أن أي موقع إلكتروني يُمكنه محاكاة دعم مفاتيح المرور لفرض هذا الطلب والحصول على عنوان IP الخاص بالزائر. لا يتطلب الأمر أي تفاعل من المستخدم، مما يجعل هذه ثغرة أمنية خفية للتتبع والتعرف على المستخدم. علاوة على ذلك، وثّق الباحثون ثغرتين إضافيتين في WebKit تُفاقمان الوضع: جلب DNS المسبق، الذي يُصفّي الاستعلامات المُوجّهة إلى نظام أسماء النطاقات، وWebTransport، وهو بروتوكول اتصال مباشر يتجاوز الخادم الوكيل.
أتاح كلٌّ من ميسك وحاج بكري موقعًا تجريبيًا، leaks.psylo.app، حيث يمكن لأي شخص التحقق مما إذا كان عنوان IP الخاص به مُسرَّبًا رغم تفعيل خاصية Private Relay. وقد أكدت الاختبارات التي أجراها صحفيو 404 Media على هذا الموقع أن الأداة عرضت عنوان IP الحقيقي لمستخدم كان من المفترض أن يكون محميًا بواسطة خدمة Apple.
الوصول إلى نظام iOS البيئي وما وراءه
من غرائب هذه المشكلة أنها لا تقتصر على متصفح سفاري فقط. فبسبب سياسات متجر التطبيقات، يُشترط على جميع المتصفحات المتوفرة على نظام iOS ، مثل كروم وفايرفوكس وبريف، استخدام محرك WebKit. وهذا يعني أن الثغرة الأمنية تمتد لتشمل جميع المتصفحات تقريبًا على النظام، بما في ذلك الخيارات التي تُركز على الخصوصية مثل متصفح Onion Browser، الذي يتصل بشبكة Tor. وقد أكد الباحثون أن هذا المتصفح يعاني أيضًا من تسريبات عناوين IP، وقد تواصلوا بالفعل مع مطوريه لإيجاد حلول.
أعاد هذا الوضع إشعال النقاش حول طبيعة خدمة iCloud Private Relay. فبخلاف الشبكات الافتراضية الخاصة التقليدية التي تحمي جميع بيانات الشبكة على الجهاز على مستوى النظام، لا تعمل Private Relay إلا على البيانات التي تمر عبر متصفح Safari. هذا الاختلاف الذي غالبًا ما يُتجاهل هو جوهر المشكلة الحالية. ويؤكد الخبراء على أنه لا ينبغي اعتبار خدمة كهذه بديلاً عن شبكة افتراضية خاصة متكاملة ، لأن نطاقها أضيق بكثير مما يعتقده العديد من المستخدمين.
في أوروبا وإسبانيا، يكتسب هذا الوضع أهمية خاصة. فالخصوصية حق أساسي يحميه النظام العام لحماية البيانات (GDPR)، وتُعدّ الوكالة الإسبانية لحماية البيانات (AEPD) من أكثر الهيئات نشاطًا في مراقبة الامتثال لهذه الأنظمة. وقد يترتب على هذا النوع من الإخفاق في خدمة تُسوّق تحديدًا على أنها حصن للخصوصية، تبعات تنظيمية ، لا سيما إذا ثبت أن وظائفها لا توفر مستوى الحماية الموعود.
رد شركة آبل وتوصياتها
أكدت شركة آبل لموقع 404 Media أنها تُجري تحقيقًا في تقرير الباحثين، إلا أنها لم تُحدد موعدًا مُعينًا لإصلاح الثغرة. ويشير وضع المشكلة على بوابة الإبلاغ الأمني التي استخدمها الباحثون إلى أن الإصلاح مُخطط له في خريف عام 2026. ومع ذلك، فإن التجربة السابقة مع ثغرة مماثلة في خدمة "إخفاء بريدي الإلكتروني"، والتي كشفت أيضًا بيانات المستخدمين واستغرقت أكثر من عام لحلها، تُثير الشكوك حول سرعة الاستجابة.
في الوقت نفسه، الطريقة الوحيدة لحماية عنوان IP الخاص بك بشكل كامل على نظام iOS هي استخدام شبكة VPN على مستوى النظام . خدمات مثل ProtonVPN وMullvad وWireGuard، على سبيل المثال، قادرة على حماية جميع بيانات الجهاز، بما في ذلك الطلبات الواردة من خارج المتصفح، مثل تلك المتعلقة بكلمات المرور. ويؤكد الباحثون أن شبكة VPN التقليدية تحمي جميع بيانات الجهاز، بما في ذلك طلبات كلمات المرور التي تتجاوز نفق الخصوصية.
لقد ركز مجتمع الأمن السيبراني اهتمامه بالفعل على هذه المشكلة، وهذا في محله. فتسريب عناوين IP الحقيقية قد يسمح لشبكات الإعلان وخدمات التتبع بربط هوية المستخدم بنشاط تصفحه، مما يقوض تمامًا الغرض من خدمة Private Relay. ورغم أن هذه الثغرة لم تُستغل على نطاق واسع حتى الآن، إلا أن مجرد وجود موقع تجريبي وتأكيد وسائل الإعلام الدولية للمشكلة يؤكد خطورة الوضع.
في الختام، من المهم التذكير بأن هذا الحادث لا يُبطل تمامًا فائدة ميزة iCloud Private Relay. فباقي تصفحك لمتصفح Safari يبقى محميًا بنظام الترحيل المزدوج، الذي يمنع Apple والمواقع الإلكترونية من ربط عنوان IP الخاص بك بنشاطك. مع ذلك، يُظهر وجود هذه الثغرات، لا سيما تلك المتعلقة بكلمات المرور، أن الخصوصية الرقمية ساحة معركة دائمة، حيث قد تحتوي الحلول التي تبدو قوية على نقاط ضعف. ينبغي على المستخدمين إدراك هذه القيود، وإذا شعروا بتهديد كبير، فعليهم التفكير في استخدام أدوات تكميلية مثل VPN لضمان حماية شاملة حقًا. يجب أن يستند الثقة في وعود الخصوصية إلى فهم حقيقي لكيفية عمل هذه التقنيات وحدودها.