Против Apple подали коллективный иск, связанный с работой функции «Частный узел iCloud» (iCloud Private Relay). Истцы утверждают, что компания вводила подписчиков iCloud+ в заблуждение относительно защиты их IP-адресов. Поводом стали сообщения исследователей безопасности о возможной уязвимости, при которой сайты способны определить реальный IP-адрес пользователя.
«Частный узел iCloud» доступен подписчикам iCloud+ и предназначен для повышения приватности при работе в Safari. Сервис не является полноценным VPN, однако использует двухэтапную схему передачи данных: интернет-провайдер видит подключение пользователя к серверу Apple, но не должен видеть адрес запрашиваемого сайта; сам сайт, в свою очередь, получает временный IP-адрес вместо реального.
Первый ретранслятор, управляемый Apple, получает IP-адрес устройства, но не должен иметь доступа к названию сайта благодаря шифрованию DNS-запроса. Второй ретранслятор, который обслуживает сторонний провайдер контента, расшифровывает имя сайта и устанавливает соединение, не получая исходный IP-адрес пользователя.
В чём заключается предполагаемая проблема
Как сообщили исследователи, сайты, использующие ключи доступа (passkeys), могут отправлять запрос за пределами браузера. Такой запрос, по их данным, не проходит через «Частный узел iCloud» и способен раскрыть реальный IP-адрес устройства, хотя для пользователя взаимодействие с сайтом выглядит обычным.
Авторы исследования также утверждают, что для этого сайту необязательно фактически поддерживать ключи входа: достаточно просто имитировать такую поддержку. Официальной информации Apple об устранении описанной проблемы в публикации не приводится.
Требования истцов
Иск подала юридическая фирма Clarkson Law Firm. В документе Apple обвиняют в недостоверной рекламе, введении потребителей в заблуждение и мошенничестве. Заявители считают, что компания знала либо должна была знать о несоответствии своих заявлений о защите приватности фактической работе сервиса в момент продвижения и продажи подписок iCloud+.
Партнёр Clarkson Тим Джордано назвал ситуацию нарушением доверия потребителей. По его мнению, пользователи годами платили за дополнительную защиту, которая могла не предотвращать отслеживание, профилирование и таргетирование, от которых Apple обещала оградить клиентов.
На момент публикации Apple не прокомментировала иск. Само предъявление требований не означает, что суд установил нарушения со стороны компании, а обоснованность претензий ещё предстоит оценить в ходе разбирательства.
