Appleの「iCloudプライベートリレー」で実IPアドレスが漏洩する懸念、WebKitのプロキシ回避仕様が原因

要点

• Appleのプライバシー保護機能「iCloudプライベートリレー」において、ユーザーの実際のIPアドレスが接続先のウェブサイトに漏洩する問題が明らかになった。

• 原因は、SafariやiOS上の主要ブラウザが基盤とする描画エンジン「WebKit」内の3つの機能が、設定されたプロキシを経由せずに直接通信を行うためである。

• パスキー認証に用いられる規格「WebAuthn」などの処理を悪用することで、ユーザーに操作を求めることなく実際のIPアドレスを特定することが可能とされる。

• この問題はiOSやmacOSなどのWebKitベースのブラウザに影響するが、VPN接続時や一部の非WebKitブラウザでは漏洩が発生しない。

• Appleは今回の報告について認識しており、現在この問題に関する調査を進めていると報じられている。

• Appleが提供するプライバシー保護サービス「iCloudプライベートリレー」を使用している環境において、ユーザーの実際のIPアドレスが隠蔽されずにウェブサイト側に漏洩する脆弱性が存在することが分かった。セキュリティ研究者のタラル・ハジ・バクリ氏とトミー・マイスク氏が2026年8月6日に調査結果を公表した。この問題は、AppleのWebブラウザ向けエンジンである「WebKit」（SafariやiOS上のブラウザが使用する、ウェブページを描画するためのプログラムエンジン）に組み込まれている特定の機能が、プロキシ設定を迂回して直接通信を行ってしまう仕様に起因しているという。

• iCloudプライベートリレーは、iOS 15から導入された、有料クラウドサービス「iCloud+」の加入者向け機能である。この機能は、SafariからのWebトラフィックを2つの中継サーバーを経由して目的地へ届ける「デュアルホップ構造」を採用している。これにより、Apple自身を含むどの中継者も「誰がどのウェブサイトにアクセスしているか」という情報を同時に知ることができない仕組みとなっており、高いプライバシー保護を実現していた。

• しかし研究者によると、Safariをはじめ、iOSやiPadOS上で動作するすべてのサードパーティ製ブラウザ（Google ChromeやMicrosoft Edge、Firefoxなど）が共通して使用している「WebKit」に、この保護を無効化する挙動が存在するという。

• 具体的には、WebKitに搭載されている「DNSプレフェッチ」「WebAuthn関連オリジン要求」「WebTransport」という3つの機能が原因とされている。これらはページの読み込みやセキュリティ認証を効率化するための機能だが、設定されているプロキシサーバーを無視してデバイスから直接インターネットへ通信を試みる性質がある。

• 「DNSプレフェッチ」は、ウェブページの読み込み速度を高めるため、ユーザーがリンクをクリックする前に事前に対象ドメインの名前解決を行う機能である。しかし、この名前解決の通信が、ブラウザで設定されたプロキシを経由せず、デバイスの通常の通信経路を使用して行われてしまう。

• また、「WebAuthn（ウェブ認証）」は、パスワードの代わりにデバイスの生体認証などを使ってウェブサイトに安全にログインするための通信規格である。この認証の処理において、OS側の資格情報サービスが検証に必要なファイルを直接ウェブサーバーから取得しようとする際に、プロキシを通らない直接の通信が発生する。

• さらに、「WebTransport」は、ブラウザとサーバーの間で低遅延かつ双方向にデータをやり取りするための次世代通信規格である。この規格がHTTP/3による接続を確立する際にも、設定されたプロキシをバイパスしてサーバーと直接通信を行う挙動があるという。

• このようにプロキシをバイパスする処理が行われると、iCloudプライベートリレーによるIPアドレスの隠蔽処理が行われないため、接続先に対してユーザーの回線契約に基づく本物のIPアドレスがそのまま送信されることになる。

• 特に問題視されているのが、パスキー（IDやパスワードを使わずに指紋や顔認証などでログインする仕組み）の認証処理に使われるWebAuthnの挙動である。ウェブサイト側がWebAuthnの仕様を意図的に調整しておくことで、驚くべきことに、ユーザーが実際にログイン操作を行ったり、パスキーを使用したりしていなくても、そのサイトを閲覧しただけで現在のセッション情報と漏洩した本物のIPアドレスを紐付けることが可能になってしまう。マイスク氏は、サイト側がこの脆弱性を悪用するために、ユーザーにいかなる操作も求める必要がない点を指摘している。

• 研究チームは、ユーザーが自分の環境で実際のIPアドレスが漏洩しているかどうかをテストできる実証用ウェブサイト「leaks.psylo.app」を公開した。このサイトにアクセスすると、「HTTPS通信」におけるIPアドレスと、プロキシ経路を回避して漏洩する可能性のある「潜在的なIP漏洩」のアドレスがそれぞれ表示され、検証が行えるようになっている。

• なお、この漏洩はすべてのインターネット利用環境で等しく発生するわけではない。研究者によると、デスクトップ版のGoogle ChromeのようにWebKitを使用していないブラウザではプロキシの迂回は発生しないという。また、通信経路を暗号化してプライバシーを守る接続技術である「VPN」を使用している場合は、プロキシを回避した直接通信が発生したとしても、送信されるのはVPNサーバーのIPアドレスとなるため、実IPアドレスの漏洩は阻止される。

• Appleはこの件について公式なコメントをまだ発表していないが、米メディア「404 Media」の取材に対して、今回の研究者からの報告内容について調査中であることを認めたという。

• iCloudプライベートリレーにおいてIPアドレスの漏洩問題が指摘されるのは、今回が初めての事例ではない。2021年に同機能が初めてリリースされた直後にも、ウェブブラウザ間でリアルタイムのデータ通信を行うための技術規格である「WebRTC」の挙動を利用して、接続元のIPアドレスが露出してしまう問題が「FingerprintJS」によって報告されていた。

• また、今回の発表の約1ヶ月前にも、Appleは特定の条件下でユーザーの本物のメールアドレスが露出する「メールを非公開」サービスの脆弱性を修正したばかりだった。プライバシー保護を前面に押し出す同社の主要なサービスにおいて、設計上の問題からユーザーの個人情報が露呈するリスクが再び浮き彫りになった形だ。