iCloud 私密中繼服務的承諾很明確：在使用 Safari 瀏覽器瀏覽網頁時隱藏您的真實 IP 位址，防止網站追蹤您的活動。然而，最近的研究表明，這種保護並非總是有效。一群安全專家發現，即使啟用了該服務，您的 IP 位址仍然可能被洩露。這個問題比表面看起來更為嚴重，因為它影響 iOS 和 macOS 上的所有瀏覽器，並且已經引起了用戶的廣泛關注。
以隱私分析聞名的研究員 Tommy Mysk 和 Talal Haj Bakry 發布了一份報告，詳細揭露了iOS 所有瀏覽器使用的WebKit 引擎中的三個漏洞。這些漏洞允許惡意網站在用戶不知情的情況下獲取其真實 IP 位址，從而完全繞過私人中繼隱私保護機制。該消息在近幾小時內迅速傳播開來，蘋果已承認正在調查此問題，但尚未給出修復時間表。
問題的根源：通行密鑰和其他逃生途徑
對一般使用者而言，最嚴重且最相關的缺陷在於Passkey，這是一種日益普及的無密碼身分驗證系統。當網站請求Passkey時，該請求並非在Safari瀏覽器中處理，而是由設備的作業系統直接在系統層面處理。此流程使用WebAuthn標準，運行在Private Relay創建的隱私隧道之外，這意味著請求網站可以輕易取得裝置的真實IP位址。
這個問題尤其敏感，因為正如研究人員指出的，任何網站都可以模擬對密碼的支持，從而強制用戶發出此類請求並獲取訪客的 IP 位址。無需用戶交互，這便形成了一個用於追蹤和識別用戶的隱藏後門。此外，研究人員還記錄了WebKit 中另外兩個加劇這種情況的缺陷：DNS 預取（它會過濾對網域名稱系統的查詢）和 WebTransport（一種繞過代理程式的直接連接協定）。
Mysk 和 Haj Bakry 提供了一個測試網站 leaks.psylo.app，任何人都可以訪問該網站，檢查自己的 IP 位址是否在啟用了私人中繼 (Private Relay) 的情況下仍然被洩露。 404 Media 的記者在該網站上進行的測試證實，該工具顯示了用戶的真實 IP 位址，而理論上，該用戶應該受到蘋果服務的保護。
覆蓋 iOS 生態系統及其他領域
這個問題的特殊之處在於它並非只影響 Safari 瀏覽器。由於 App Store 的政策限制，iOS 系統上所有瀏覽器，例如 Chrome、Firefox 和 Brave，都必須使用 WebKit 引擎。這意味著漏洞幾乎會影響系統上的所有瀏覽器，包括注重隱私的 Onion Browser——一款連接 Tor 網路的瀏覽器。研究人員已證實 Onion Browser 也存在 IP 位址外洩問題，並已聯繫其開發者尋求解決方案。
這種情況再次引發了關於 iCloud Private Relay 本質的爭論。與傳統的 VPN 不同，後者會在系統層級保護裝置上的所有網路流量，而 Private Relay 僅作用於透過 Safari 瀏覽器的流量。這種常被忽略的差異正是當前問題的根源。專家們堅持認為，像這樣的服務不應被視為功能齊全的 VPN 的替代品，因為它的適用範圍遠比許多用戶想像的要有限。
在歐洲和西班牙，這種情況尤其突出。隱私權是受《一般資料保護規範》(GDPR)保護的基本權利，而西班牙資料保護局(AEPD)是積極監督這些規範執行情況的機構之一。如果一項服務以保護隱私為賣點，卻出現此類問題，可能會引發監管方面的後果，尤其是在證實其功能無法提供承諾的保護等級的情況下。
蘋果公司的回應與建議
蘋果已向 404 Media 證實，他們正在調查研究人員的報告，但尚未給出具體的修復日期。研究人員使用的安全報告入口網站上顯示，該問題的狀態表明，修復計劃於 2026 年秋季進行。然而，鑑於過去「隱藏我的電子郵件」服務也曾出現過類似漏洞，導致用戶資料洩露，且修復耗時一年多，這讓人對蘋果的反應速度產生懷疑。
同時，在 iOS 裝置上完全保護 IP 位址的唯一方法是使用系統級 VPN。例如，ProtonVPN、Mullvad 或 WireGuard 等服務可以保護所有裝置流量，包括來自瀏覽器以外的請求，例如與密碼相關的請求。研究人員證實，傳統的 VPN 可以保護所有設備流量，包括那些逃逸出隱私隧道的密碼請求。
安全界已經將注意力集中在這個問題上，這是理所當然的。真實IP位址的外洩可能使廣告網路和追蹤服務能夠將使用者的身分與其瀏覽活動關聯起來，從而徹底破壞私有中繼的初衷。儘管目前該漏洞尚未被大規模利用，但演示網站的存在以及國際媒體對問題的報道，都凸顯了事態的嚴重性。
總之，要記住的是，這次事件並未完全否定iCloud 私密中繼的實用性。您透過 Safari 瀏覽的其他內容仍然受到雙重中繼系統的保護，該系統可以防止 Apple 和網站將您的 IP 位址與您的活動關聯起來。然而，這些漏洞的存在，尤其是與密碼相關的漏洞，表明數位隱私始終是一個需要不斷鬥爭的領域，即使是看似強大的解決方案也可能存在盲點。使用者應該意識到這些局限性，如果感到威脅較高，則應考慮使用 VPN 等輔助工具來確保真正全面的保護。對隱私承諾的信任應該建立在對這些技術的工作原理及其局限性的真正理解之上。