Janji iCloud Private Relay jelas: menyembunyikan alamat IP asli Anda saat menjelajah dengan Safari sehingga situs web tidak dapat melacak Anda. Namun, penelitian terbaru mengungkapkan bahwa perlindungan ini tidak selalu efektif. Sekelompok pakar keamanan telah menemukan beberapa cara alamat IP Anda dapat terungkap , bahkan dengan layanan yang diaktifkan. Masalah ini lebih serius daripada yang terlihat, karena memengaruhi semua browser di iOS dan macOS, dan telah menimbulkan kekhawatiran yang signifikan di kalangan pengguna.
Peneliti Tommy Mysk dan Talal Haj Bakry, yang dikenal karena analisis privasi mereka, telah menerbitkan laporan yang merinci tiga kelemahan dalam WebKit , mesin yang digunakan oleh semua browser di iOS. Kelemahan ini memungkinkan situs web berbahaya untuk mendapatkan alamat IP asli Anda tanpa sepengetahuan Anda, sepenuhnya melewati terowongan privasi Private Relay. Berita ini telah menjadi viral dalam beberapa jam terakhir, dan Apple telah mengakui bahwa mereka sedang menyelidiki masalah ini, meskipun belum memberikan jadwal untuk perbaikannya.
Asal mula masalah: kode akses dan jalur pelarian lainnya
Kelemahan paling serius dan relevan bagi pengguna awam berkaitan dengan passkey, sistem otentikasi tanpa kata sandi yang semakin populer . Ketika sebuah situs web meminta passkey, permintaan tersebut tidak ditangani di dalam browser Safari; sebaliknya, sistem operasi perangkat memprosesnya langsung di tingkat sistem. Proses ini, yang menggunakan standar WebAuthn, berjalan di luar terowongan privasi yang dibuat oleh Private Relay, yang berarti situs web yang meminta dapat dengan mudah melihat alamat IP asli perangkat.
Masalah ini sangat sensitif karena, seperti yang ditunjukkan para peneliti, situs web mana pun dapat mensimulasikan dukungan untuk kata sandi untuk memaksa permintaan ini dan mendapatkan alamat IP pengunjung. Tidak diperlukan interaksi pengguna, sehingga ini menjadi pintu belakang tersembunyi untuk pelacakan dan identifikasi. Lebih lanjut, para peneliti telah mendokumentasikan dua kelemahan tambahan dalam WebKit yang memperburuk situasi: prefetching DNS, yang menyaring kueri ke Sistem Nama Domain, dan WebTransport, protokol koneksi langsung yang juga melewati proxy.
Mysk dan Haj Bakry telah menyediakan situs web uji coba, leaks.psylo.app, di mana siapa pun dapat memeriksa apakah alamat IP mereka bocor meskipun telah mengaktifkan Private Relay. Tes yang dilakukan oleh jurnalis 404 Media di situs ini mengkonfirmasi bahwa alat tersebut menampilkan alamat IP asli pengguna yang, secara teori, dilindungi oleh layanan Apple.
Jangkauan di ekosistem iOS dan di luarnya
Salah satu keanehan dari masalah ini adalah bahwa masalah ini tidak hanya memengaruhi Safari. Karena kebijakan App Store, semua browser yang tersedia di iOS , seperti Chrome, Firefox, dan Brave, diharuskan menggunakan mesin WebKit. Ini berarti kerentanan meluas ke hampir setiap browser di sistem, termasuk opsi yang berfokus pada privasi seperti Onion Browser, browser yang terhubung ke jaringan Tor. Para peneliti telah mengkonfirmasi bahwa browser ini juga mengalami kebocoran IP dan telah menghubungi pengembangnya untuk mencari solusi.
Situasi ini kembali memicu perdebatan tentang sifat iCloud Private Relay. Tidak seperti VPN tradisional yang melindungi semua lalu lintas jaringan pada perangkat di tingkat sistem, Private Relay hanya bertindak pada lalu lintas yang melewati Safari. Perbedaan yang sering diabaikan ini adalah akar dari masalah saat ini. Para ahli bersikeras bahwa layanan seperti ini tidak boleh dianggap sebagai pengganti VPN yang lengkap , karena cakupannya jauh lebih terbatas daripada yang diyakini banyak pengguna.
Di Eropa dan Spanyol, situasi ini sangat relevan. Privasi adalah hak mendasar yang dilindungi oleh Peraturan Perlindungan Data Umum (GDPR), dan Badan Perlindungan Data Spanyol (AEPD) adalah salah satu badan yang paling aktif memantau kepatuhan terhadap peraturan ini. Kegagalan semacam ini dalam layanan yang dipasarkan justru sebagai benteng privasi dapat memiliki implikasi peraturan , terutama jika terbukti bahwa fungsionalitas tersebut tidak menawarkan tingkat perlindungan yang dijanjikan.
Tanggapan dan rekomendasi Apple
Apple telah mengkonfirmasi kepada 404 Media bahwa mereka sedang menyelidiki laporan para peneliti, meskipun belum memberikan tanggal spesifik untuk perbaikannya. Di portal pelaporan keamanan yang digunakan oleh para peneliti, status masalah tersebut menunjukkan bahwa perbaikan direncanakan untuk musim gugur 2026. Namun, pengalaman sebelumnya dengan celah keamanan serupa pada layanan Hide My Email, yang juga mengekspos data pengguna dan membutuhkan waktu lebih dari satu tahun untuk diselesaikan, menimbulkan keraguan tentang kecepatan respons tersebut.
Sementara itu, satu-satunya cara untuk sepenuhnya melindungi alamat IP Anda di iOS adalah dengan menggunakan VPN tingkat sistem . Layanan seperti ProtonVPN, Mullvad, atau WireGuard, misalnya, dapat melindungi semua lalu lintas perangkat, termasuk permintaan yang berasal dari luar browser, seperti yang terkait dengan kata sandi. Para peneliti mengkonfirmasi bahwa VPN tradisional melindungi semua lalu lintas perangkat, termasuk permintaan kata sandi yang lolos dari terowongan privasi.
Komunitas keamanan telah memfokuskan perhatiannya pada masalah ini, dan memang seharusnya demikian. Kebocoran alamat IP asli dapat memungkinkan jaringan periklanan dan layanan pelacakan untuk menghubungkan identitas pengguna dengan aktivitas penjelajahan mereka, yang sepenuhnya merusak tujuan Private Relay. Meskipun kerentanan ini belum dieksploitasi secara besar-besaran hingga saat ini, fakta bahwa situs web demo ada dan bahwa media internasional telah memverifikasi masalah ini menggarisbawahi keseriusan situasi tersebut.
Kesimpulannya, penting untuk diingat bahwa insiden ini tidak sepenuhnya membatalkan kegunaan iCloud Private Relay. Aktivitas penjelajahan Anda melalui Safari tetap terlindungi oleh sistem relay ganda, yang mencegah Apple dan situs web menghubungkan alamat IP Anda dengan aktivitas Anda. Namun, keberadaan celah-celah ini, khususnya yang terkait dengan kata sandi, menunjukkan bahwa privasi digital adalah medan pertempuran yang konstan di mana solusi yang tampaknya kuat dapat memiliki titik buta. Pengguna harus menyadari keterbatasan ini dan, jika ancaman yang mereka rasakan tinggi, pertimbangkan untuk menggunakan alat pelengkap seperti VPN untuk memastikan perlindungan yang benar-benar komprehensif. Kepercayaan pada janji privasi harus didasarkan pada pemahaman nyata tentang cara kerja teknologi ini dan apa keterbatasannya.