SULAWESI TENGGARA — Layanan iCloud Private Relay yang seharusnya menyamarkan alamat IP dan data DNS pengguna saat berselancar di Safari ternyata memiliki celah keamanan. Dua peneliti keamanan, Tommy Mysk dan Talal Haj Bakry, menemukan bahwa situs web yang menggunakan atau berpura-pura menggunakan passkey dapat menembus proteksi tersebut dan melihat alamat IP asli perangkat pengguna.
Celah di Balik Teknologi Passkey
Masalah ini berakar pada cara kerja passkey yang mengandalkan standar WebAuthn. Kunci privat perangkat disimpan di sistem operasi, bukan di browser Safari. Ketika proses autentikasi berlangsung, sistem operasi yang mengirimkan permintaan HTTPS secara langsung ke situs web, sehingga melewati jalur proxy Private Relay yang dikonfigurasi Safari.
Yang lebih mengkhawatirkan, celah ini dapat dieksploitasi tanpa sepengetahuan pengguna. Halaman situs dapat memicu proses pengambilan data secara otomatis di latar belakang tanpa menampilkan antarmuka apa pun. Artinya, pengguna tidak akan menyadari bahwa alamat IP mereka telah diakses oleh pihak lain.
Dua Celah Tambahan di WebKit
Penelitian Mysk dan Haj Bakry juga mengungkap dua fitur WebKit lain yang berpotensi membocorkan data. Fitur DNS prefetching yang diperkenalkan di iOS 26 dapat mengungkap server DNS asli pengguna. Sementara itu, WebTransport yang hadir di iOS 26.4 juga bisa mengekspos alamat IP perangkat.
Karena masalah ini tertanam dalam cara kerja WebKit, browser pihak ketiga yang menggunakan mesin tersebut juga ikut terdampak. Ini berarti pengguna browser seperti Chrome atau Edge versi iOS juga berisiko mengalami kebocoran data yang sama.
Langkah Uji dan Solusi Sementara
Mysk dan Haj Bakry telah membuat situs web khusus untuk menguji apakah layanan iCloud Private Relay pengguna benar-benar bocor. Pengguna yang ingin memastikan keamanan datanya dapat mengunjungi situs tersebut dan melihat apakah alamat IP mereka terekspos.
Hingga Apple merilis perbaikan resmi, pengguna yang sangat mengutamakan privasi disarankan menggunakan VPN untuk perlindungan tambahan. VPN mengenkripsi seluruh lalu lintas data dari perangkat, sehingga alamat IP asli tetap tersembunyi meskipun Private Relay gagal berfungsi. Apple sendiri telah menyatakan sedang menyelidiki temuan ini melalui pernyataan kepada 404 Media.
