‏Mysk: افشای مسئولانه یه نسخهٔ واحد نداره

تیم دونفرهٔ Mysk، سازندهٔ مرورگر حریم‌خصوصی‌محور Psylo روی iOS، تو یه پست توضیح داده چرا سه آسیب‌پذیری WebKit رو بدون اطلاع قبلی به اپل عمومی کرده. این نشتی‌ها باعث می‌شدن ترافیک DNS یا IP واقعی کاربر لو بره، حتی وقتی مرورگر طوری تنظیم شده که همه‌چی از پروکسی رد بشه. چون ریشهٔ ایراد تو خود WebKit بود، هم Psylo، هم مرورگرهای Tor روی iOS مثل Onion Browser و هم iCloud Private Relay اپل درگیر بودن.

به نوشتهٔ نویسنده‌ها سؤال اصلی این بود: وقتی یه باگ سطح سیستم مستقیم روی کاربرای محصول خودت اثر می‌ذاره، افشای مسئولانه یعنی چی؟ اونا معتقدن یه نسخهٔ واحد برای همه وجود نداره و باید شدت باگ، سختی سوءاستفاده، پاسخگویی سازنده و از همه مهم‌تر اینکه کاربر راهی برای محافظت از خودش داره یا نه رو سنجید. از نظرشون افشای هماهنگ ابزار کم کردن ریسکه، نه هدف نهایی.

دلیل بی‌اعتمادی‌شون هم تجربهٔ قبلیه. یه باگ در macOS Archive Utility با شناسهٔ CVE-2026-28910 بیشتر از پنج ماه طول کشید تا وصله بشه. تو همین پست اومده که محققای EasyOptOuts هم ژوئن ۲۰۲۵ یه نشتی تو Hide My Email رو گزارش کردن که آدرس واقعی پشت نام مستعار رو لو می‌داد، و اپل حدود ۱۳ ماه بعد درستش کرد. تیم حاضر نبود ماه‌ها روی نشتی بشینه در حالی که وعدهٔ حریم خصوصی Psylo عملاً شکسته بود.

کاری که در عمل کردن این بود: اول خصوصی سراغ پروژهٔ Tor و توسعه‌دهنده‌های Onion Browser رفتن، یافته‌ها و راهکارها رو باهاشون گذاشتن و تاریخ افشا رو هماهنگ کردن. بعد وصله‌های خودشون رو تو Psylo 1.3.1 منتشر کردن. این وصله‌ها جلوی DNS prefetching رو می‌گیرن و WebTransport و WebAuthn (همون فناوری پشت passkeyها) رو پیش‌فرض غیرفعال می‌کنن، که ممکنه سازگاری بعضی سایت‌ها رو خراب کنه؛ نویسنده‌ها می‌گن به همین خاطر سکوت گزینه نبود و کاربر باید دلیلش رو بدونه.

برای کاربرای iCloud Private Relay یه راه‌حل موقت وجود داشت: یه VPN کل‌دستگاه جلوی این نشتی‌ها رو می‌گیره، چون ترافیک رو سطح سیستم تونل می‌کنه. اما برای Psylo این جواب نمی‌داد، چون هر تب توی Psylo پروکسی و IP جدا داره و VPN همه رو به یه IP خروجی مشترک می‌رسونه. بعد از افشا، اپل تو iOS 27 beta 6 و نسخه‌های 26.6.1 و macOS Tahoe 26.6.2 نشتی‌ها رو برای Private Relay بست، ولی رفتار پروکسی WebKit برای مرورگرهای ثالث هنوز درست نشده.

نکات کلیدی:

• سه نشتی WebKit، DNS و IP واقعی کاربر رو حتی با پروکسی مرورگر لو می‌دادن؛ VPN کل‌دستگاه در امان بود.
• Psylo 1.3.1 با بستن DNS prefetching و غیرفعال کردن پیش‌فرض WebTransport و WebAuthn جلوشون رو گرفت.
• اپل حدود دو هفته بعد از افشا، تو iOS/iPadOS 26.6.1 و macOS Tahoe 26.6.2 نشتی Private Relay رو بست.
• وصلهٔ اپل فقط iCloud Private Relay رو پوشش داد؛ مرورگرهای پروکسی ثالث هنوز درگیرن.
• برای مقایسه: نشتی Hide My Email حدود ۱۳ ماه باز موند، این یکی حدود دو هفته.