Apple Private Relay에서 사용자 IP가 유출될까요? 이 보고된 개인정보 설계 문제는 보안 연구원 Tommy Mysk와 Talal Haj Bakry에 의해 공식적으로 문서화되었으며, 특정 네트워크 환경에서 WebKit 아키텍처가 Safari 프록시 체인을 우회할 수 있음을 보여줍니다. 디지털 추적 기술이 갈수록 침입적인 형태를 띠게 됨에 따라, 수백만 명의 소비자는 타사 추적 네트워크로부터 자신의 실제 자격 증명을 보호하기 위해 메일 전달 도구와 브라우저 프록시 체인에 의존합니다. 표준 작동 조건에서 이러한 프록시는 웹 요청을 중간 서버로 라우팅하여 IP 추적 및 DNS 프로파일링으로부터 사용자를 보호합니다. 그러나 기본 WebKit 엔진이 네이티브 자격 증명 서비스로 하여금 프록시 파이프라인 외부에서 직접 HTTPS 요청을 시작하도록 허용하면, 의도했던 네트워크 격리가 실패하게 됩니다.
Apple Private Relay 유출 문제의 연대기 및 배경 진화
요약
- 보안 연구원 Tommy Mysk와 Talal Haj Bakry는 WebKit이 WebAuthn 패스키 요청을 처리할 때 Private Relay를 우회하여 장치 IP 주소를 노출한다고 밝혔습니다.
- iOS 26의 DNS 프리페칭 및 iOS 26.4의 WebTransport 프로토콜을 포함한 추가적인 WebKit 기능 또한 프록시 채널을 우회하는 직접적인 네트워크 연결을 시작합니다.
- Apple은 해당 연구 보고서를 인지하고 내부 조사를 시작했으며, 연구원들은 임시 보호 조치로 전체 VPN 구성을 권장하고 있습니다.
네트워크 수준의 개인정보 보호 프록시 개발은 소비자 데이터 보호의 중요한 이정표였습니다. 운영 체제 및 기본 브라우저 엔진에 직접 통합된 이러한 유틸리티를 통해 사용자는 웹 브라우징 중에 자신의 물리적 위치와 네트워크 신원을 숨길 수 있었습니다. Safari 트래픽을 이중 홉 아키텍처를 통해 라우팅함으로써, 프록시 서비스는 사용자 신원과 목적지 도메인 기록을 분리했습니다. 웹사이트가 유입된 사용자의 프로필을 작성하려고 시도하더라도, 실제 장치의 기원이 아닌 중간 프록시 IP 주소만 확인하게 되어 타사 광고 네트워크가 지속적인 위치 프로필을 구축하는 것을 성공적으로 방지했습니다.
그러나 애플리케이션 계층 프록시의 무결성은 브라우저 환경에서 발생하는 모든 네트워크 트래픽이 반드시 프록시 파이프라인을 통과해야 한다는 중요한 가정에 의존합니다. 장치 트래픽을 네트워크 인터페이스 계층에서 모두 캡처하는 시스템 수준의 가상 사설망(VPN)과 달리, 애플리케이션 계층 프록시는 브라우저 샌드박스 내에서 처리된 요청만 필터링합니다. 운영 체제 구성 요소가 브라우저 프로세스 외부에서 웹 페이지를 대신하여 네트워크 페치를 실행하는 경우, 해당 요청은 프록시를 완전히 우회하게 됩니다.
Apple Private Relay 유출 문제의 보안적 함의는 2026년 8월, 연구원 Tommy Mysk와 Talal Haj Bakry가 그들의 연구 블로그에 상세 결과를 게시하면서 드러났습니다. 자세한 내용은 Mysk WebKit 프록시 유출 보고서에서 확인할 수 있습니다. 연구원들은 사용자가 프록시 보호 기능을 활성화했음에도 실제 IP 주소가 노출되는지 테스트할 수 있는 공개 검증 도구인 leaks.psylo.app을 출시했습니다. 404 Media의 조사를 포함한 언론 매체들의 독립적인 검증 결과, 이 취약점이 실제 라우터 IP 주소를 확실하게 노출한다는 점이 확인되었습니다. Apple은 이 보고서를 인지하고 문제를 조사 중이라고 밝혔으며, 연구원들은 아키텍처 수준의 수정에는 운영 체제 업데이트가 필요할 것으로 지적했습니다.
Apple Private Relay 유출 문제의 기술적 심층 분석
내부적으로 이 취약점은 WebKit의 웹 렌더링 프로세스와 운영 체제의 자격 증명 서비스 간의 구조적 분리에서 기인합니다. 사용자가 WebAuthn 표준을 통해 패스키(Passkeys)를 구현하는 웹사이트와 상호 작용할 때, WebKit은 인증 절차를 기본 OS 자격 증명 프레임워크에 직접 위임합니다. OS 자격 증명 서비스는 Safari와 독립적으로 작동하기 때문에, Private Relay의 프록시 노드를 거치지 않고 대상 서버에 직접 HTTPS 요청을 보냅니다.
악의적인 웹사이트는 사용자 상호 작용 없이도 이러한 아키텍처 격차를 악용할 수 있습니다. 조건부 중재(mediation: "conditional")를 사용하여 WebAuthn 요청을 구성하면, 웹 페이지가 백그라운드 자격 증명 확인을 자동으로 트리거할 수 있습니다. 화면에 패스키 프롬프트나 시각적 표시가 나타나지 않음에도 불구하고, OS 자격 증명 서비스는 프록시되지 않은 HTTPS 요청을 발생시켜 장치의 실제 IP 주소를 수신 서버에 노출합니다.
[프록시된 Safari Relay 경로] Safari 브라우저 ──> WebKit 엔진 ──> 이중 홉 Private Relay ──> 목적지 서버 (IP 마스킹됨) [우회된 OS 자격 증명 서비스 경로] WebAuthn 호출 ──> OS 자격 증명 서비스 ──> 직접 HTTPS 요청 ──> 목적지 서버 (실제 IP 노출)
더 나아가, 연구원들은 유사한 우회 동작을 보이는 두 가지 추가적인 WebKit 기능을 식별했습니다. iOS 26에서는 DNS 프리페칭 요청이 프록시된 DNS 채널이 아닌 장치의 기본 DNS 확인자를 통해 직접 전달되어 로컬 ISP 정보가 유출됩니다. iOS 26.4에서는 WebTransport 프로토콜이 구성된 애플리케이션 프록시를 무시하고 직접 HTTP/3 연결을 수립합니다. Apple은 모든 iOS 웹 브라우저가 WebKit 엔진을 사용하도록 요구하기 때문에, 이러한 우회 경로는 OnionBrowser와 같은 개인정보 보호 중심 도구를 포함하여 iOS에서 작동하는 타사 브라우저에도 영향을 미칩니다.
개인정보 보호 프록시와 모바일 기여 분석은 서로 다른 엔지니어링 문제를 해결하지만, 둘 다 암묵적으로 신뢰되는 클라이언트 측 컨텍스트가 아닌, 신뢰할 수 있는 서버 측 상태에 의존합니다. 이 동일한 아키텍처 패턴은 SDK 배포, 안전한 애플리케이션 실행, 지연된 딥 링크(deferred deep linking)를 포함한 소프트웨어 공급망 전반에 점점 더 많이 적용되고 있습니다. 애플리케이션이 취약한 클라이언트 측 추적 쿠키나 검증되지 않은 로컬 스토리지 매개변수에 의존할 경우, 악의적인 행위자나 자동화된 봇이 기여 분석 링크를 조작하여 가짜 전환과 데이터 오염을 유발할 수 있습니다.
구축(Build) vs 도입(Buy): 프록시 이후 시대의 컨텍스트 보존 관리
클라이언트 측 프록시 보호가 아키텍처 우회 위험에 직면함에 따라, 엔지니어링 팀은 데이터 파이프라인을 보호하고 상태 연속성을 유지하는 방법을 재평가해야 합니다. 클라이언트 측 IP 주소나 브라우저 헤더에만 의존하는 것은 이제 엔터프라이즈급 측정에 충분하지 않습니다. Apple Private Relay 유출 시대에 상태 보존을 관리하려면 제로 트러스트 토큰화와 서버 측 상태 검증을 강제하는 아키텍처가 필요합니다.
엔지니어링 팀은 사내 맞춤형 컨텍스트 복원 서비스를 구축할지, 아니면 인증된 타사 측정 프레임워크를 배포할지 선택해야 합니다.
| 개인정보 보호 아키텍처 | 신뢰 경계 | IP 보호 | 적합한 대상 |
|---|---|---|---|
| 브라우저 프록시 (Private Relay) | 브라우저 샌드박스 | 제한적 (WebKit에 의해 우회됨) | 소비자 웹 브라우징 |
| 사용자 지정 네트워크 계층 | 애플리케이션 관리 상태 | 보통 | 사용자 지정 백엔드 마이크로서비스 |
| 서버 측 컨텍스트 복구 (OpoInstall) | 검증된 서버 상태 | 높음 | 모바일 앱 실행 및 플랫폼 간 캠페인 기여 분석 |
브라우저 트래픽이나 애플리케이션 워크플로우가 로컬 프록시 구성을 우회하여 사용자를 네이티브 모바일 애플리케이션으로 리디렉션할 때, 전환 컨텍스트를 보존하려면 클라이언트 측 쿠키에서 서버 측 매개변수 복구로 전환해야 합니다. 구현 요구 사항에 따라 조직은 자체 서버 측 매개변수 복원 서비스를 구축하거나 OpoInstall과 같은 상용 플랫폼을 도입할 수 있습니다. 예를 들어, OpoInstall은 서버 측 상태 복원 및 매개변수 패스스루 프레임워크를 제공하여, 지속적인 클라이언트 측 토큰에 의존하지 않고도 애플리케이션 실행 요청과 관련된 '애플리케이션 실행 컨텍스트(Application Launch Context)'를 보존합니다. 서버 측에서 애플리케이션 실행 컨텍스트를 유지함으로써 개발자는 엄격한 데이터 격리를 유지하면서도 애플리케이션 컨텍스트를 온전하게 보존할 수 있습니다.
통합 체크리스트: 장치 개인정보 보호를 위한 네트워크 파이프라인 강화
무단 네트워크 유출을 방지하고 프록시 우회 공격으로부터 데이터 파이프라인을 보호하기 위해 엔지니어링 및 보안 팀은 자동화된 네트워크 거버넌스 일정을 구현해야 합니다.
개발자 구현 체크리스트
- 민감한 엔드포인트에서 WebTransport 비활성화: WebKit 프록시 패치가 배포될 때까지 엄격한 IP 마스킹이 필요한 엔드포인트에서 WebTransport 프로토콜을 제한하십시오.
- 조건부 WebAuthn 트리거 필터링: 백그라운드 OS 페치를 유발하는 비표시 WebAuthn 요청을 감지하고 제한하기 위한 서버 측 검증을 구현하십시오.
- 서버 측 매개변수 검증 강제: 클라이언트 측 IP 의존성을 암호화 방식으로 서명된 토큰으로 대체하여 요청 출처의 진위 여부를 확인하십시오.
- 서버 생성 컨텍스트 토큰 서명: 브라우저 트래픽이 사용자를 네이티브 애플리케이션으로 리디렉션할 때, 매개변수 조작을 방지하기 위해 컨텍스트 토큰에 암호화된 매개변수를 사용하십시오.
제품 및 성장 전략 체크리스트
- 네트워크 원격 측정 감사: 클라이언트 측 요청 로그를 정기적으로 감사하여 시스템 수준 자격 증명 서비스에서 발생하는 프록시되지 않은 네트워크 페치를 식별하십시오.
- 서버 측 컨텍스트 검증으로 전환: 취약한 브라우저 기반 쿠키를 서버 측 매개변수 복구로 대체하여 전환 컨텍스트를 안전하게 보존하십시오.
- 시스템 수준 VPN 보호 권장: 엄격한 IP 익명성이 필요한 사용자의 경우, 네트워크 인터페이스 계층에서 트래픽을 암호화하는 전체 장치 VPN 솔루션을 권장하십시오.
이러한 기술적 안전 장치를 구축함으로써 조직은 규정을 준수하는 데이터 운영을 유지하면서 애플리케이션 아키텍처를 보호할 수 있습니다.
자주 묻는 질문(FAQ)
WebKit 기반 Safari에서 WebAuthn이 iCloud Private Relay를 우회하는 이유는 무엇인가요?
iOS의 타사 브라우저도 이 IP 유출 문제의 영향을 받나요?
애플리케이션 계층 프록시와 시스템 수준 VPN의 차이점은 무엇인가요?
실무적 영향 및 향후 전망
Private Relay 우회 사례의 발견은 애플리케이션 계층 개인정보 보호 프록시의 근본적인 한계를 보여줍니다. 운영 체제가 더 깊은 백그라운드 서비스를 통합함에 따라 브라우저 트래픽과 OS 수준의 페치를 분리하는 것은 더욱 복잡해지고 있습니다. 단일 애플리케이션 프록시에 의존하는 것만으로는 최신 웹 표준 전반에 걸쳐 완전한 IP 익명성을 보장하기에 더 이상 충분하지 않습니다.
개발자와 보안 설계자에게 데이터 보호의 미래는 '제로 트러스트', '서버 측 검증 아키텍처'에 달려 있습니다. 서버 측 신원 확인, 암호화 방식으로 서명된 매개변수, 그리고 강력한 서버 측 컨텍스트 검증 프레임워크를 구현하면 애플리케이션 컨텍스트가 정확하고 변조 방지된 상태로 유지될 수 있습니다. 이러한 탄력적인 기술적 안전 장치를 구축하는 것은 기업 인프라를 보호하고 안전하며 규정을 준수하는 모바일 운영을 유지하는 데 필수적입니다.
Share this article
