iCloud Private Relay
iCloud Private Relay — сервис приватности Apple, представлен на WWDC 2021. Действует как two-hop прокси: ни Apple, ни выходной оператор не знают одновременно кто ты и куда идёшь. Работает только для трафика Safari, приложений использующих URLSession с HTTPS, и DNS. Требует подписку iCloud+ (99₽/мес и выше).
Архитектура — two-hop
┌──────┐ HTTPS+MASQUE ┌───────────┐ HTTPS+MASQUE ┌────────┐ HTTPS ┌────────┐
│Клиент│ ───────────────────> │Ingress │ ───────────────────> │Egress │ ──────────>│Origin │
│ │ │ (Apple) │ │(3rd │ │ сайт │
│ │ │ │ │ party) │ │ │
└──────┘ └───────────┘ └────────┘ └────────┘
↑ ↑ ↑
Знает свой IP Видит IP клиента, Видит origin,
и origin НЕ ВИДИТ origin НЕ ВИДИТ IP клиентаРазделение знания
| Узел | Кто | Знает клиента (IP) | Знает origin |
|---|---|---|---|
| Ingress | Apple | Да | Нет (зашифровано) |
| Egress | Cloudflare, Fastly, Akamai | Нет (видит Apple IP) | Да |
Апелляция: чтобы деанонимизировать нужен сговор двух независимых сторон. Похоже на Tor mini-circuit из двух хопов.
Транспорт — MASQUE / QUIC
Private Relay использует MASQUE (RFC 9298) — CONNECT-UDP поверх HTTP/3. Одна QUIC-сессия несёт множество прокси-туннелей. Быстро (0-RTT resume), стойко к packet loss.
Что скрывается
- IP-адрес клиента от origin-сайта — сайт видит IP Egress-провайдера.
- DNS-запросы — резолвинг через прокси, не через локальный резолвер.
- SNI и HTTP(S)-путь — шифрованно, ISP не знает куда ходишь.
Что НЕ скрывается
- Не VPN — не создаёт TUN-интерфейс, не заворачивает весь системный трафик.
- Non-Safari браузеры (Chrome, Firefox) — идут напрямую, не через relay.
- Приложения на UDP/TCP-сокетах без URLSession — прямо в интернет.
- Локальный трафик, LAN, VPN — не заворачивается.
- Государственные/enterprise DNS-запросы через MDM — идут в свою систему.
Egress-геолокация
Пользователь выбирает в настройках:
- Maintain general location — Egress в той же стране/регионе, скорость лучше, локализация сохраняется (местные новости и т.д.).
- Use country and time zone — только страна и таймзона совпадают, регион произвольный, приватность выше.
Никогда не даёт возможность «выбрать другую страну» — Private Relay не VPN для обхода блокировок.
Egress-провайдеры
- Cloudflare — большая часть трафика.
- Fastly.
- Akamai.
Каждый предоставляет opt-in list egress-IP адресов. Сайты могут добавлять эти IP в свои allowlist если хотят различать трафик.
Проблемы
| Кто | Что не любит |
|---|---|
| Банки и антифрод | Не могут отследить geolocation клиента, false-positive риски |
| Правоохранители | Не могут заказать логи «кто пришёл на этот сайт» |
| Провайдеры | Не могут делать DPI, продавать данные о трафике |
| CDN клиентов Apple | Меньше информации о посетителях |
| Госструктуры некоторых стран | Роскомнадзор, китайский GFW блокирует. В Иране, Беларуси недоступен |
Не работает в странах
Apple явно отключил Private Relay в:
- Россия, Беларусь, Китай — по правовым причинам.
- Египет, Казахстан, ЮАР — некоторые из них.
В остальном мире доступен при iCloud+.
Сравнение
| Private Relay | VPN | Tor | |
|---|---|---|---|
| Скорость | Быстро (близко к прямому) | Средне-быстро | Медленно |
| Скрывает от origin | Да | Да | Да |
| Скрывает от ISP | Да | Да | Да |
| Скрывает от одного участника | Да (two-hop) | Нет (VPN знает всё) | Да (multi-hop) |
| Выбор геолокации | Нет | Да | Ограниченно |
| Работает для всех приложений | Только Safari + URLSession | Да | Нет (SOCKS-only) |
Аналоги
- Cloudflare 1.1.1.1 + WARP — свой two-hop через Cloudflare.
- Mozilla Firefox Private Network (закрыт).
- Multi-hop VPN — Mullvad, ProtonVPN (два VPN-хопа последовательно).