هل تسرّب خدمة Apple Private Relay عنوان IP الخاص بالمستخدم؟ كيف تؤثر بنية WebKit على الخصوصية

هل تسرّب خدمة Apple Private Relay عنوان IP الخاص بالمستخدم؟ لقد تم توثيق مخاوف تصميم الخصوصية هذه رسمياً من قبل الباحثين الأمنيين تومي مسك (Tommy Mysk) وطلال حاج بكري، حيث أثبتا أن بنية WebKit يمكنها تجاوز سلاسل وكيل Safari (proxy chains) في ظل ظروف شبكية معينة. مع تزايد تغلغل تقنيات التتبع الرقمي، يعتمد ملايين المستهلكين على أدوات إعادة توجيه البريد المقنعة وسلاسل وكيل المتصفح لعزل بيانات اعتمادهم الحقيقية عن شبكات التتبع التابعة لجهات خارجية. في ظروف التشغيل القياسية، تحمي هذه الخوادم الوكيلة المستخدمين من تتبع عناوين IP وتحليل نظام أسماء النطاقات (DNS) من خلال توجيه طلبات الويب عبر خوادم وسيطة. ومع ذلك، عندما يسمح محرك WebKit الأساسي لخدمات الاعتماد الأصلية ببدء طلبات HTTPS مباشرة خارج مسار الوكيل، فإن عزل الشبكة المقصود يفشل.

التسلسل الزمني والخلفية التطورية لمخاوف تسريب Apple Private Relay

نظرة سريعة

• كشف الباحثان الأمنيان تومي مسك وطلال حاج بكري أن WebKit يتجاوز Private Relay عند التعامل مع طلبات مفاتيح المرور (WebAuthn passkeys)، مما يعرض عناوين IP الخاصة بالجهاز للكشف.
• ميزات WebKit الإضافية، بما في ذلك خاصية الجلب المسبق لنظام DNS في iOS 26 وبروتوكولات WebTransport في iOS 26.4، تبدأ أيضاً اتصالات شبكية مباشرة تتجاوز قنوات الوكيل.
• أقرت Apple بتقرير البحث وبدأت تحقيقاً داخلياً، بينما أوصى الباحثون باستخدام تكوينات VPN كاملة كإجراء وقائي مؤقت.

مثّل تطوير وكلاء الخصوصية على مستوى الشبكة علامة فارقة في حماية بيانات المستهلك. وبفضل دمجها مباشرة في أنظمة التشغيل ومحركات المتصفح الافتراضية، سمحت هذه الأدوات للمستخدمين بإخفاء موقعهم الجغرافي وهويتهم على الشبكة أثناء التصفح. من خلال توجيه حركة مرور Safari عبر بنية مزدوجة القفزات (dual-hop)، فصلت الخدمة الوكيلة هوية المستخدم عن سجلات النطاق الوجهة. وإذا حاول موقع ويب تحديد ملف تعريف المستخدم الوارد، فإنه يرى فقط عنوان IP الخاص بالخادم الوسيط بدلاً من الأصل الحقيقي للجهاز، مما يمنع بنجاح شبكات الإعلانات التابعة لجهات خارجية من بناء ملفات تعريف موقع مستمرة.

ومع ذلك، تعتمد سلامة الوكلاء في طبقة التطبيقات على افتراض واحد حاسم: يجب فرض جميع حركات مرور الشبكة الناشئة من بيئة المتصفح عبر مسار الوكيل. بخلاف الشبكات الافتراضية الخاصة (VPNs) على مستوى النظام التي تلتقط جميع حركة مرور الجهاز عند طبقة واجهة الشبكة، يقوم وكلاء طبقة التطبيقات فقط بتصفية الطلبات التي تتم معالجتها داخل بيئة المتصفح المعزولة (sandbox). وإذا نفذ أحد مكونات نظام التشغيل طلباً للشبكة نيابة عن صفحة ويب خارج عملية المتصفح، فإن الطلب يتجاوز الوكيل تماماً.

ظهرت الآثار الأمنية لمخاوف تسريب Apple Private Relay في أغسطس 2026، عندما نشر الباحثان تومي مسك وطلال حاج بكري نتائج مفصلة على مدونتهما البحثية، كما هو موثق في تقرير تسريب وكيل WebKit الخاص بـ Mysk. أطلق الباحثون أداة تحقق عامة، leaks.psylo.app، تسمح للمستخدمين باختبار ما إذا كان عنوان IP الحقيقي الخاص بهم مكشوفاً على الرغم من تفعيل حماية الوكيل. أكدت التحققات المستقلة من قبل وسائل إعلام، بما في ذلك تحقيق 404 Media، أن الثغرة كشفت بشكل موثوق عن عناوين IP الخاصة بأجهزة التوجيه الحقيقية. أقرت Apple بالتقرير وأشارت إلى أنها تحقق في المشكلة، بينما أشار الباحثون إلى أن الإصلاح المعماري سيتطلب تحديثاً لنظام التشغيل.

تحليل فني معمق وآليات عمل ثغرة Apple Private Relay

في جوهر الأمر، تنبع الثغرة من فصل هيكلي بين عملية عرض الويب في WebKit وخدمة اعتماد نظام التشغيل. عندما يتفاعل مستخدم مع موقع ويب يطبق مفاتيح المرور عبر معيار WebAuthn، يقوم WebKit بتفويض مراسم المصادقة مباشرة إلى إطار عمل اعتماد نظام التشغيل الأساسي. ولأن خدمة اعتماد نظام التشغيل تعمل بشكل مستقل عن Safari، فإنها تصدر طلبات HTTPS مباشرة إلى الخادم الوجهة دون توجيهها عبر عقد وكيل Private Relay.

يمكن لموقع ويب ضار استغلال هذه الفجوة المعمارية دون الحاجة إلى تفاعل المستخدم. من خلال تهيئة طلبات WebAuthn مع الوساطة الشرطية (mediation: "conditional")، يمكن لصفحة الويب تشغيل عمليات فحص الاعتماد في الخلفية بصمت. لا تظهر أي مطالبات بمفاتيح المرور أو مؤشرات مرئية على الشاشة، ومع ذلك تقوم خدمة اعتماد نظام التشغيل بإرسال طلب HTTPS غير موجه عبر وكيل، مما يكشف عنوان IP الحقيقي للجهاز للخادم المتلقي.

[مسار Safari Relay الوكيل]
  متصفح Safari ──> محرك WebKit ──> وكيل مزدوج القفزات ──> الخادم الوجهة (IP مقنّع)


[مسار خدمة اعتماد نظام التشغيل المتجاوز]
  طلب WebAuthn ──> خدمة اعتماد نظام التشغيل ──> طلب HTTPS مباشر ──> الخادم الوجهة (IP حقيقي مكشوف)

علاوة على ذلك، حدد الباحثون ميزتين إضافيتين في WebKit تظهران سلوكيات تجاوز مماثلة. في iOS 26، تُرسل طلبات الجلب المسبق لـ DNS مباشرة عبر محلل DNS الأصلي للجهاز بدلاً من قناة DNS الموجهة عبر وكيل، مما يسرب تفاصيل مزود خدمة الإنترنت المحلي. وفي iOS 26.4، ينشئ بروتوكول WebTransport اتصالات HTTP/3 مباشرة تتجاهل وكلاء التطبيقات المهيأة. ولأن Apple تطلب من جميع متصفحات الويب على iOS استخدام محرك WebKit، فإن ناقلات التجاوز هذه تؤثر أيضاً على متصفحات الطرف الثالث التي تعمل على iOS، بما في ذلك الأدوات التي تركز على الخصوصية مثل OnionBrowser.

على الرغم من أن وكلاء الخصوصية وإسناد تطبيقات الجوال (mobile attribution) يحلان مشكلات هندسية مختلفة، إلا أن كلاهما يعتمد على حالة موثوقة من جانب الخادم بدلاً من سياق موثوق ضمنياً من جانب العميل. يتم تطبيق هذا النمط المعماري بشكل متزايد عبر سلاسل توريد البرمجيات، بما في ذلك توزيع SDK، وتشغيل التطبيقات الآمن، والروابط العميقة المؤجلة (deferred deep linking). عندما يعتمد التطبيق على ملفات تعريف ارتباط (cookies) ضعيفة من جانب العميل أو معلمات تخزين محلية غير محققة، يمكن للجهات الفاعلة الضارة أو الروبوتات الآلية التلاعب بروابط الإسناد، مما يؤدي إلى تحويلات وهمية وتلف في البيانات.

البناء مقابل الشراء: إدارة الحفاظ على السياق في عصر ما بعد الوكيل

مع مواجهة حمايات الوكيل من جانب العميل لمخاطر التجاوز المعماري، يجب على الفرق الهندسية إعادة تقييم كيفية تأمين خطوط أنابيب البيانات والحفاظ على استمرارية الحالة. الاعتماد فقط على عناوين IP من جانب العميل أو رؤوس المتصفح لم يعد كافياً للقياس على مستوى المؤسسات. تتطلب إدارة الحفاظ على الحالة في عصر تسريبات Apple Private Relay بنيات تفرض الترميز القائم على الثقة الصفرية (zero-trust tokenization) والتحقق من الحالة من جانب الخادم.

تواجه الفرق الهندسية خياراً بين بناء خدمة استعادة سياق مخصصة داخلية أو نشر إطار عمل قياس معتمد من طرف ثالث.

عندما تتجاوز حركة مرور المتصفح أو سير عمل التطبيقات تكوينات الوكيل المحلية وتعيد توجيه المستخدم نحو تطبيق جوال أصلي، فإن الحفاظ على سياق التحويل يتطلب الانتقال بعيداً عن ملفات تعريف الارتباط من جانب العميل نحو استعادة المعلمات من جانب الخادم. اعتماداً على متطلبات التنفيذ، قد تقوم المؤسسات ببناء خدمة استعادة المعلمات من جانب الخادم الخاصة بها أو اعتماد منصات تجارية مثل OpoInstall. على سبيل المثال، توفر OpoInstall أطر عمل لاستعادة الحالة من جانب الخادم وتمرير المعلمات، مما يحافظ على سياق تشغيل التطبيق المرتبط بطلبات إطلاق التطبيق، دون الاعتماد على رموز دائمة من جانب العميل. من خلال الحفاظ على سياق إطلاق التطبيق (Application Launch Context) من جانب الخادم، يضمن المطورون بقاء سياقات التطبيق سليمة مع الحفاظ على عزل صارم للبيانات.

قوائم مراجعة التكامل: تحصين خطوط أنابيب الشبكة لخصوصية الجهاز

لمنع تسريبات الشبكة غير المصرح بها وتأمين خطوط أنابيب البيانات ضد ناقلات تجاوز الوكيل، يجب على الفرق الهندسية والأمنية تنفيذ جداول زمنية للحوكمة الآلية للشبكة.

قائمة مراجعة تنفيذ المطور

• تعطيل WebTransport على نقاط النهاية الحساسة: تقييد بروتوكولات WebTransport على نقاط النهاية التي تتطلب إخفاء صارم لـ IP حتى يتم نشر تصحيحات وكيل WebKit.
• تصفية مشغلات WebAuthn الشرطية: تنفيذ التحقق من جانب الخادم لاكتشاف وتقييد طلبات WebAuthn الصامتة التي تطلق عمليات جلب في الخلفية بواسطة نظام التشغيل.
• فرض التحقق من المعلمات من جانب الخادم: استبدال الاعتماد على IP من جانب العميل برموز مميزة موقعة تشفيرياً للتحقق من مصداقية أصل الطلب.
• توقيع رموز السياق التي يتم إنشاؤها بواسطة الخادم: عند إعادة توجيه حركة مرور المتصفح للمستخدمين نحو التطبيقات الأصلية، استخدم معلمات موقعة تشفيرياً على رموز السياق لمنع التلاعب بالمعلمات.

قائمة مراجعة استراتيجية المنتج والنمو

• تدقيق تتبع الشبكة: تدقيق سجلات طلبات جانب العميل بانتظام لتحديد عمليات جلب الشبكة غير الموجهة عبر وكيل والتي تنشأ من خدمات الاعتماد على مستوى النظام.
• الانتقال إلى التحقق من السياق من جانب الخادم: استبدال ملفات تعريف ارتباط المتصفح الضعيفة باستعادة المعلمات من جانب الخادم للحفاظ على سياق التحويل بشكل آمن.
• التوصية بحمايات VPN على مستوى النظام: للمستخدمين الذين يحتاجون إلى إخفاء هوية صارم لـ IP، يوصى بحلول VPN كاملة للجهاز تقوم بتشفير حركة المرور عند طبقة واجهة الشبكة.

من خلال إنشاء هذه الضمانات التقنية، يمكن للمؤسسات حماية بنيات تطبيقاتها مع الحفاظ على عمليات بيانات ممتثلة.

يسلط اكتشاف تجاوز Private Relay الضوء على القيود الأساسية لوكلاء الخصوصية في طبقة التطبيقات. مع دمج أنظمة التشغيل لخدمات خلفية أعمق، أصبح فصل حركة مرور المتصفح عن عمليات الجلب على مستوى نظام التشغيل معقداً بشكل متزايد. لم يعد الاعتماد على وكلاء التطبيق الواحد كافياً لضمان إخفاء كامل لهوية IP عبر معايير الويب الحديثة.

بالنسبة للمطورين ومهندسي الأمن، يعتمد مستقبل حماية البيانات على بنيات التحقق من جانب الخادم القائمة على الثقة الصفرية. إن تنفيذ دقة الهوية من جانب الخادم، والمعلمات الموقعة تشفيرياً، وأطر عمل التحقق من السياق القوية من جانب الخادم يضمن بقاء سياق التطبيق دقيقاً ومقاوماً للتلاعب. يعد إنشاء هذه الضمانات التقنية المرنة أمراً ضرورياً لحماية البنية التحتية للمؤسسات والحفاظ على عمليات جوالة آمنة وممتثلة.