애플 프라이빗 릴레이, 패스키 요청에 실제 IP 노출된다

애플의 유료 프라이버시 기능 ‘프라이빗 릴레이(Private Relay)’가 이용자의 실제 IP 주소를 노출시킬 수 있다는 보안 연구 결과가 나왔다. 보안 연구자 토미 마이스크(Tommy Mysk)와 탈랄 하지 바크리(Talal Haj Bakry)는 지난 화요일(현지시각) 공개한 블로그 게시물에서 애플 웹브라우저 엔진 웹킷(WebKit)의 결함 세 가지를 지목했다. 가장 심각한 문제는 패스키(passkey)를 지원하거나 지원하는 것처럼 위장한 웹사이트가 프라이빗 릴레이를 켜둔 상태에서도 이용자의 실제 IP를 확인할 수 있다는 점이다. 두 사람은 누구나 자신의 실제 IP가 노출되는지 확인할 수 있는 테스트 사이트도 함께 공개했다. 테크크런치(TechCrunch)는 화요일 이 사이트로 직접 테스트한 결과 실제 IP 주소가 그대로 드러났다고 확인했다. 이번 문제는 404미디어(404 Media)가 최초 보도했다.

패스키 요청이 프라이빗 릴레이를 그냥 지나간다

프라이빗 릴레이는 아이클라우드+(iCloud+) 유료 구독자에게 제공되는 기능으로, 사파리(Safari)로 인터넷을 이용할 때 IP 주소와 DNS 정보를 숨겨준다. 기기 전체 트래픽을 시스템 단계에서 암호화하는 VPN과는 다르다. 프라이빗 릴레이는 사파리를 쓸 때만 작동한다.

문제는 패스키의 기반이 되는 웹오스(WebAuthn) 표준이 작동하는 방식에서 비롯된다. 패스키의 개인 키는 사파리 브라우저가 아니라 기기 자체에 저장된다. 웹사이트가 패스키 인증을 요청하면 웹킷은 이 절차를 브라우저가 아닌 운영체제의 자격 증명 서비스에 넘긴다. 이 서비스가 직접 HTTPS 요청을 보내는데, 이 과정은 프라이빗 릴레이가 설정한 프록시 경로를 전혀 거치지 않는다. 연구진은 “요청이 사파리가 아니라 운영체제의 자격 증명 서비스에서 발생하기 때문에 프라이빗 릴레이의 프록시 경로에 진입하지 않는다. 목적지 서버는 어느 경우든 기기의 실제 IP 주소를 보게 된다”고 설명했다.

더 심각한 점은 웹사이트가 임의로 rpId(신뢰 도메인 식별자)를 지정할 수 있고, mediation을 conditional로 설정하면 이용자가 아무 동작을 하지 않아도 요청이 발생한다는 점이다. 화면에는 패스키 입력창이나 어떤 알림도 뜨지 않는다. 공격자는 웹오스를 지원하는 사이트를 만들어두기만 하면 방문자의 실제 IP를 백그라운드에서 알아낼 수 있다.

패스키뿐 아니라 DNS·웹트랜스포트도 구멍

연구진이 지목한 나머지 두 취약점은 각각 iOS 26에서 추가된 DNS 프리페칭(DNS prefetching)과 iOS 26.4에서 추가된 웹트랜스포트(WebTransport)다. DNS 프리페칭은 이용자가 실제로 사용하는 DNS 서버 정보를 노출시키고, 웹트랜스포트는 IP 주소 자체를 드러낼 수 있다. 세 가지 결함 모두 프라이빗 릴레이가 표면적으로는 정상 작동하는 것처럼 보이지만 실제로는 특정 상황에서 우회된다는 공통점을 갖는다.

사파리만의 문제가 아니다…토르 브라우저까지 영향

애플은 대부분 국가에서 iOS의 모든 웹브라우저가 웹킷 엔진을 쓰도록 강제한다. 이 때문에 이번 결함은 사파리에 국한되지 않는다. 연구진은 토르(Tor) 익명 네트워크를 이용하는 브라우저인 온라인브라우저(OnionBrowser)에서도 같은 방식으로 IP가 노출될 수 있다는 사실을 확인했다. 토르는 이용자 트래픽을 세계 여러 노드를 거쳐 우회시켜 익명성을 지키는 네트워크인데, 이번에 발견된 결함 중 일부는 이런 우회 경로마저 무력화할 수 있다.

마이스크는 이 문제를 토르 프로젝트(Tor Project)에도 알렸고, 토르 프로젝트 측은 이를 “심각하다(dire)”고 평가했다고 전해졌다. 다만 수정 일정은 제시하지 않았고, 대신 마이스크가 이 사실을 공개하는 데는 동의했다고 한다. 안드로이드 오소리티(Android Authority)에 따르면 전통적인 시스템 전역 VPN은 트래픽을 운영체제 단계에서 암호화하기 때문에 이번 결함의 영향을 받지 않는다.

애플의 대응, 그리고 엇갈리는 신고 경위

애플의 대응을 둘러싼 정황은 매체별로 다소 결이 다르다. 테크크런치에 따르면 마이스크는 엑스(X)에 올린 글에서 애플에 이 문제를 신고하지 않기로 했다고 밝혔다. 그는 “애플과의 과거 경험에 비춰볼 때 신고는 수개월의 지연과 일관되지 않은 소통, 때로는 문제의 영향 자체를 부인하는 결과로 이어졌다”고 이유를 설명했다. 애플은 테크크런치의 논평 요청에 즉답하지 않았다.

반면 나인투파이브맥(9to5Mac)은 마이스크가 실제로 애플에 보안 신고서를 제출했으며, 애플 측 답변에는 “신고된 문제를 해결할 계획”이라며 올가을(2026년 가을) 수정을 예고하는 내용이 담겼다고 전했다. 맥루머스(MacRumors)는 애플이 404미디어에 이 문제를 조사하고 있다고 답했다고 보도했다.

이번 사안은 애플의 구독형 프라이버시 기능이 연이어 도마에 오른 두 번째 사례이기도 하다. 나인투파이브맥에 따르면 앞서 누구나 이용자의 실제 이메일 주소에 접근할 수 있게 한 하이드 마이 이메일(Hide My Email) 취약점이 지난달 애플에 의해 수정된 바 있다. 마이스크와 동료들이 개발한 프라이버시 중심 브라우저 Psylo는 현재 이런 방식의 IP 노출을 막는 완화 조치를 적용했다고 밝혔다. 프라이빗 릴레이 이용자라면 연구진이 공개한 테스트 사이트로 실제 IP 노출 여부를 확인하고, 더 강한 보호가 필요하다면 시스템 전역 VPN을 병행하는 것이 대안으로 제시된다.