Apple Private Relay รั่วไหลของ IP ผู้ใช้หรือไม่? WebKit ส่งผลกระทบต่อความเป็นส่วนตัวอย่างไร

Apple Private Relay ทำข้อมูล IP ผู้ใช้รั่วไหลจริงหรือไม่? ข้อกังวลด้านการออกแบบความเป็นส่วนตัวนี้ได้รับการบันทึกไว้อย่างเป็นทางการโดยนักวิจัยด้านความปลอดภัย Tommy Mysk และ Talal Haj Bakry ซึ่งแสดงให้เห็นว่าสถาปัตยกรรม WebKit สามารถเลี่ยงระบบ Proxy ของ Safari ได้ในบางสถานการณ์ของเครือข่าย ในขณะที่เทคโนโลยีการติดตามข้อมูลดิจิทัลมีความซับซ้อนมากขึ้น ผู้บริโภคนับล้านต่างพึ่งพาเครื่องมือส่งต่ออีเมลและระบบ Proxy ของเบราว์เซอร์เพื่อปกปิดข้อมูลประจำตัวที่แท้จริงไม่ให้ถูกเครือข่ายติดตามภายนอกเข้าถึง ในสภาวะการทำงานปกติ ระบบ Proxy เหล่านี้จะปกป้องผู้ใช้จากการติดตาม IP และการจัดทำโปรไฟล์ DNS โดยการส่งคำขอผ่านเซิร์ฟเวอร์ตัวกลาง อย่างไรก็ตาม เมื่อเอนจิ้น WebKit อนุญาตให้บริการจัดการข้อมูลประจำตัว (credential services) ดั้งเดิมเริ่มการเชื่อมต่อ HTTPS โดยตรงนอกช่องทาง Proxy การแยกส่วนเครือข่ายที่ตั้งใจไว้จึงล้มเหลว

ลำดับเหตุการณ์และที่มาของความกังวลเรื่อง Apple Private Relay รั่วไหล

สรุปประเด็นสำคัญ

• นักวิจัย Tommy Mysk และ Talal Haj Bakry เปิดเผยว่า WebKit มีการข้ามระบบ Private Relay เมื่อจัดการคำขอ WebAuthn passkey ส่งผลให้ที่อยู่ IP ของอุปกรณ์ถูกเปิดเผย
• คุณสมบัติอื่นๆ ของ WebKit รวมถึง DNS prefetching ใน iOS 26 และโปรโตคอล WebTransport ใน iOS 26.4 ยังมีการเชื่อมต่อเครือข่ายโดยตรงที่ข้ามช่องทาง Proxy อีกด้วย
• Apple ยอมรับรายงานการวิจัยและเริ่มการตรวจสอบภายใน โดยนักวิจัยแนะนำให้ใช้การกำหนดค่า VPN เต็มรูปแบบเป็นมาตรการป้องกันชั่วคราว

การพัฒนา Proxy ระดับเครือข่ายถือเป็นก้าวสำคัญในการปกป้องข้อมูลผู้บริโภค เครื่องมือเหล่านี้ที่รวมอยู่ในระบบปฏิบัติการและเอนจิ้นเบราว์เซอร์เริ่มต้นช่วยให้ผู้ใช้สามารถซ่อนตำแหน่งที่ตั้งและตัวตนเครือข่ายขณะท่องเว็บ ด้วยการส่งทราฟฟิก Safari ผ่านสถาปัตยกรรมแบบสองชั้น (dual-hop) บริการ Proxy จะแยกตัวตนของผู้ใช้ออกจากข้อมูลโดเมนปลายทาง หากเว็บไซต์พยายามทำโปรไฟล์ผู้ใช้ ก็จะเห็นเพียงที่อยู่ IP ของ Proxy เท่านั้น แทนที่จะเป็นต้นทางที่แท้จริงของอุปกรณ์ ซึ่งเป็นการป้องกันไม่ให้เครือข่ายโฆษณาภายนอกสร้างโปรไฟล์ตำแหน่งที่ตั้งของผู้ใช้อย่างต่อเนื่อง

อย่างไรก็ตาม ความสมบูรณ์ของ Proxy ระดับแอปพลิเคชันขึ้นอยู่กับสมมติฐานที่สำคัญประการหนึ่ง คือทราฟฟิกเครือข่ายทั้งหมดที่มาจากสภาพแวดล้อมเบราว์เซอร์จะต้องถูกบังคับผ่านช่องทาง Proxy ต่างจาก Virtual Private Networks (VPN) ระดับระบบที่จับทราฟฟิกของอุปกรณ์ทั้งหมดที่ระดับอินเทอร์เฟซเครือข่าย Proxy ระดับแอปพลิเคชันจะกรองเฉพาะคำขอที่ประมวลผลภายใน Sandbox ของเบราว์เซอร์เท่านั้น หากองค์ประกอบของระบบปฏิบัติการดำเนินการดึงข้อมูลเครือข่ายในนามของหน้าเว็บภายนอกกระบวนการของเบราว์เซอร์ คำขอนั้นจะข้าม Proxy ไปโดยสิ้นเชิง

ผลกระทบด้านความปลอดภัยของปัญหา Apple Private Relay รั่วไหลปรากฏชัดในเดือนสิงหาคม 2026 เมื่อนักวิจัย Tommy Mysk และ Talal Haj Bakry เผยแพร่ผลการวิจัยโดยละเอียดบนบล็อกของพวกเขา ตามที่ระบุไว้ใน รายงานการรั่วไหลของ WebKit Proxy โดย Mysk นักวิจัยได้เปิดตัวเครื่องมือตรวจสอบสาธารณะ leaks.psylo.app เพื่อให้ผู้ใช้ตรวจสอบว่าที่อยู่ IP ที่แท้จริงของตนถูกเปิดเผยหรือไม่แม้ว่าจะเปิดใช้งานการป้องกัน Proxy แล้วก็ตาม การตรวจสอบอิสระโดยสื่อรวมถึง การสืบสวนของ 404 Media ยืนยันว่าช่องโหว่นี้สามารถเปิดเผย IP ของเราเตอร์ที่แท้จริงได้อย่างแม่นยำ Apple ได้รับทราบรายงานดังกล่าวและระบุว่ากำลังตรวจสอบปัญหา ในขณะที่นักวิจัยระบุว่าการแก้ไขเชิงสถาปัตยกรรมจะต้องอาศัยการอัปเดตระบบปฏิบัติการ

เจาะลึกทางเทคนิคและกลไกเบื้องหลังของปัญหา Apple Private Relay รั่วไหล

ในเชิงลึก ช่องโหว่นี้เกิดจากการแยกส่วนเชิงโครงสร้างระหว่างกระบวนการแสดงผลเว็บของ WebKit กับบริการจัดการข้อมูลประจำตัวของระบบปฏิบัติการ เมื่อผู้ใช้โต้ตอบกับเว็บไซต์ที่ใช้ Passkeys ตามมาตรฐาน WebAuthn ทาง WebKit จะมอบหมายขั้นตอนการตรวจสอบสิทธิ์โดยตรงไปยังเฟรมเวิร์กข้อมูลประจำตัวของ OS เนื่องจากบริการข้อมูลประจำตัวของ OS ทำงานแยกจาก Safari จึงส่งคำขอ HTTPS โดยตรงไปยังเซิร์ฟเวอร์ปลายทางโดยไม่ผ่านโหนด Proxy ของ Private Relay

เว็บไซต์ที่เป็นอันตรายสามารถใช้ประโยชน์จากช่องว่างเชิงสถาปัตยกรรมนี้ได้โดยไม่ต้องให้ผู้ใช้โต้ตอบ ด้วยการกำหนดค่าคำขอ WebAuthn แบบ conditional mediation (mediation: "conditional") หน้าเว็บสามารถกระตุ้นการตรวจสอบข้อมูลประจำตัวเบื้องหลังได้อย่างเงียบๆ โดยไม่มีข้อความแจ้งเตือน Passkey หรือตัวบ่งชี้ภาพปรากฏบนหน้าจอ แต่บริการข้อมูลประจำตัวของ OS จะทำการส่งคำขอ HTTPS โดยไม่ผ่าน Proxy ทำให้ IP ที่แท้จริงของอุปกรณ์ถูกเปิดเผยต่อเซิร์ฟเวอร์ปลายทาง

[เส้นทาง Safari Relay ที่ผ่าน Proxy]
  Safari Browser ──> WebKit Engine ──> Dual-Hop Private Relay ──> Destination Server (IP Masked)


[เส้นทางบริการข้อมูลประจำตัว OS ที่ข้าม Proxy]
  WebAuthn Call ──> OS Credential Service ──> Direct HTTPS Request ──> Destination Server (Real IP Exposed)

นอกจากนี้ นักวิจัยยังระบุคุณสมบัติ WebKit เพิ่มเติมอีกสองประการที่มีพฤติกรรมการข้าม Proxy ที่คล้ายกัน ใน iOS 26 คำขอ DNS prefetching จะยิงตรงผ่านตัวแก้ DNS ดั้งเดิมของอุปกรณ์แทนที่จะเป็นช่องทาง DNS ที่ผ่าน Proxy ทำให้ข้อมูล ISP ท้องถิ่นรั่วไหล และใน iOS 26.4 โปรโตคอล WebTransport จะสร้างการเชื่อมต่อ HTTP/3 โดยตรงซึ่งเพิกเฉยต่อ Proxy ที่กำหนดไว้ เนื่องจาก Apple กำหนดให้เบราว์เซอร์ทั้งหมดบน iOS ต้องใช้เอนจิ้น WebKit เวกเตอร์การข้ามเหล่านี้จึงส่งผลกระทบต่อเบราว์เซอร์ของบุคคลที่สามบน iOS ทั้งหมด รวมถึงเครื่องมือที่เน้นความเป็นส่วนตัวอย่าง OnionBrowser ด้วย

แม้ว่า Proxy ความเป็นส่วนตัวและการวัดผลแอปพลิเคชันจะแก้ปัญหาทางวิศวกรรมที่แตกต่างกัน แต่ทั้งสองอย่างต่างพึ่งพาสถานะฝั่งเซิร์ฟเวอร์ที่เชื่อถือได้มากกว่าบริบทฝั่งไคลเอนต์ที่เชื่อถือโดยปริยาย รูปแบบสถาปัตยกรรมนี้ถูกนำมาใช้มากขึ้นในห่วงโซ่อุปทานซอฟต์แวร์ รวมถึงการแจกจ่าย SDK, การเปิดแอปพลิเคชันอย่างปลอดภัย และการทำ deferred deep linking เมื่อแอปพลิเคชันพึ่งพาคุกกี้ติดตามฝั่งไคลเอนต์ที่เปราะบางหรือพารามิเตอร์พื้นที่เก็บข้อมูลท้องถิ่นที่ไม่ได้รับการตรวจสอบ ผู้ไม่หวังดีหรือบอทอัตโนมัติอาจจัดการกับลิงก์การวัดผล นำไปสู่การแปลงสภาพ (conversion) ปลอมและการเสียหายของข้อมูล

สร้างเอง vs ซื้อ: การจัดการรักษาบริบทในยุคหลัง Proxy

ในขณะที่การป้องกันด้วย Proxy ฝั่งไคลเอนต์กำลังเผชิญกับความเสี่ยงจากการถูกข้ามสถาปัตยกรรม ทีมวิศวกรรมจำเป็นต้องประเมินใหม่ว่าจะรักษาความปลอดภัยของท่อส่งข้อมูลและรักษาความต่อเนื่องของสถานะได้อย่างไร การพึ่งพาเพียงที่อยู่ IP ฝั่งไคลเอนต์หรือส่วนหัวของเบราว์เซอร์นั้นไม่เพียงพออีกต่อไปสำหรับการวัดผลระดับองค์กร การจัดการรักษาบริบทในยุคของ Apple Private Relay รั่วไหลต้องใช้สถาปัตยกรรมที่บังคับใช้การสร้างโทเค็นแบบ Zero-Trust และการตรวจสอบสถานะฝั่งเซิร์ฟเวอร์

ทีมวิศวกรรมต้องเลือกระหว่างการสร้างบริการกู้คืนบริบทภายในองค์กรหรือการปรับใช้เฟรมเวิร์กการวัดผลของบุคคลที่สามที่ได้รับการรับรอง

เมื่อทราฟฟิกเบราว์เซอร์หรือเวิร์กโฟลว์ของแอปพลิเคชันข้ามการกำหนดค่า Proxy ในเครื่องและเปลี่ยนเส้นทางผู้ใช้ไปยังแอปมือถือ การรักษาบริบทของการแปลงสภาพจำเป็นต้องเปลี่ยนจากการใช้คุกกี้ฝั่งไคลเอนต์ไปสู่การกู้คืนพารามิเตอร์ฝั่งเซิร์ฟเวอร์ ขึ้นอยู่กับความต้องการในการใช้งาน องค์กรอาจเลือกสร้างบริการกู้คืนพารามิเตอร์ฝั่งเซิร์ฟเวอร์ของตนเองหรือปรับใช้แพลตฟอร์มเชิงพาณิชย์ เช่น OpoInstall ตัวอย่างเช่น OpoInstall นำเสนอเฟรมเวิร์กการกู้คืนสถานะและการส่งผ่านพารามิเตอร์ฝั่งเซิร์ฟเวอร์ ซึ่งรักษาบริบทของการเปิดแอปพลิเคชันที่เชื่อมโยงกับคำขอเปิดแอปโดยไม่พึ่งพาโทเค็นฝั่งไคลเอนต์ที่คงอยู่ถาวร การรักษาบริบทการเปิดแอปพลิเคชันไว้ที่ฝั่งเซิร์ฟเวอร์ช่วยให้มั่นใจได้ว่าบริบทแอปพลิเคชันจะยังคงครบถ้วนสมบูรณ์ในขณะที่ยังคงรักษาการแยกข้อมูลอย่างเคร่งครัด

รายการตรวจสอบการบูรณาการ: การเสริมสร้างท่อส่งเครือข่ายเพื่อความเป็นส่วนตัวของอุปกรณ์

เพื่อป้องกันการรั่วไหลของเครือข่ายโดยไม่ได้รับอนุญาตและรักษาความปลอดภัยของท่อส่งข้อมูลจากเวิร์กโฟลว์การข้าม Proxy ทีมวิศวกรรมและความปลอดภัยต้องนำตารางการกำกับดูแลเครือข่ายอัตโนมัติมาใช้

รายการตรวจสอบสำหรับนักพัฒนา

• ปิดใช้งาน WebTransport บนจุดเชื่อมต่อที่ละเอียดอ่อน: จำกัดโปรโตคอล WebTransport บนจุดเชื่อมต่อที่ต้องการการปกปิด IP อย่างเคร่งครัดจนกว่าจะมีการปรับใช้แพตช์ Proxy ของ WebKit
• กรองตัวกระตุ้น Conditional WebAuthn: ใช้การตรวจสอบฝั่งเซิร์ฟเวอร์เพื่อตรวจจับและจำกัดคำขอ WebAuthn ที่เงียบซึ่งกระตุ้นการดึงข้อมูลจาก OS เบื้องหลัง
• บังคับใช้การตรวจสอบพารามิเตอร์ฝั่งเซิร์ฟเวอร์: แทนที่การพึ่งพา IP ฝั่งไคลเอนต์ด้วยโทเค็นที่ลงนามด้วยรหัสลับเพื่อตรวจสอบความถูกต้องของแหล่งที่มาของคำขอ
• ลงนามโทเค็นบริบทที่สร้างโดยเซิร์ฟเวอร์: เมื่อทราฟฟิกเบราว์เซอร์เปลี่ยนเส้นทางผู้ใช้ไปยังแอปพลิเคชันดั้งเดิม ให้ใช้พารามิเตอร์ที่ลงนามด้วยรหัสลับในโทเค็นบริบทเพื่อป้องกันการดัดแปลงพารามิเตอร์

รายการตรวจสอบสำหรับกลยุทธ์ผลิตภัณฑ์และการเติบโต

• ตรวจสอบเครือข่าย Telemetry: ตรวจสอบบันทึกคำขอฝั่งไคลเอนต์เป็นประจำเพื่อระบุการดึงข้อมูลเครือข่ายที่ไม่ได้ผ่าน Proxy ซึ่งมาจากบริการจัดการข้อมูลประจำตัวระดับระบบ
• เปลี่ยนไปใช้การตรวจสอบบริบทฝั่งเซิร์ฟเวอร์: แทนที่คุกกี้เบราว์เซอร์ที่เปราะบางด้วยการกู้คืนพารามิเตอร์ฝั่งเซิร์ฟเวอร์เพื่อรักษาบริบทการแปลงสภาพอย่างปลอดภัย
• แนะนำการป้องกัน VPN ระดับระบบ: สำหรับผู้ใช้ที่ต้องการความเป็นส่วนตัวของ IP อย่างเคร่งครัด ให้แนะนำโซลูชัน VPN เต็มรูปแบบสำหรับอุปกรณ์ที่เข้ารหัสทราฟฟิกที่ระดับอินเทอร์เฟซเครือข่าย

ด้วยการสร้างมาตรการป้องกันทางเทคนิคเหล่านี้ องค์กรต่างๆ สามารถปกป้องสถาปัตยกรรมแอปพลิเคชันของตนในขณะที่ยังคงดำเนินงานด้านข้อมูลที่สอดคล้องกับมาตรฐาน

การค้นพบการข้าม Private Relay เน้นให้เห็นถึงข้อจำกัดพื้นฐานของ Proxy ความเป็นส่วนตัวระดับแอปพลิเคชัน ในขณะที่ระบบปฏิบัติการรวมบริการเบื้องหลังให้ลึกซึ้งยิ่งขึ้น การแยกทราฟฟิกเบราว์เซอร์ออกจากการดึงข้อมูลระดับ OS จึงมีความซับซ้อนมากขึ้นเรื่อยๆ การพึ่งพา Proxy ของแอปพลิเคชันเพียงอย่างเดียวไม่เพียงพอที่จะรับประกันการปกปิด IP อย่างสมบูรณ์ตามมาตรฐานเว็บสมัยใหม่

สำหรับนักพัฒนาและสถาปนิกด้านความปลอดภัย อนาคตของการปกป้องข้อมูลขึ้นอยู่กับสถาปัตยกรรมแบบ Zero-Trust และการตรวจสอบความถูกต้องฝั่งเซิร์ฟเวอร์ การดำเนินการแก้ปัญหาตัวตนฝั่งเซิร์ฟเวอร์ พารามิเตอร์ที่ลงนามด้วยรหัสลับ และเฟรมเวิร์กการตรวจสอบบริบทฝั่งเซิร์ฟเวอร์ที่มีประสิทธิภาพ จะช่วยให้มั่นใจได้ว่าบริบทของแอปพลิเคชันยังคงมีความถูกต้องและป้องกันการปลอมแปลงได้ การสร้างมาตรการป้องกันทางเทคนิคที่ยืดหยุ่นเหล่านี้มีความจำเป็นอย่างยิ่งในการปกป้องโครงสร้างพื้นฐานขององค์กรและรักษาการปฏิบัติงานบนมือถือที่ปลอดภัยและสอดคล้องกับข้อกำหนด