Una vulnerabilità individuata in WebKit potrebbe consentire ai siti web di ottenere l’indirizzo IP reale degli utenti anche quando iCloud Private Relay risulta attivo. Il problema riguarda le richieste associate alle passkey e coinvolge Safari, i browser basati su WebKit e alcune applicazioni orientate alla privacy. Apple ha riconosciuto la segnalazione e sta verificando il comportamento.
iCloud Private Relay può esporre l’indirizzo IP reale
Secondo i ricercatori di sicurezza Tommy Mysk e Talal Haj Bakry, una falla nel componente WebKit permette di aggirare il percorso protetto da iCloud Private Relay durante determinate richieste WebAuthn. Il servizio di Apple, incluso nell’abbonamento iCloud+, è progettato per nascondere l’indirizzo IP e aumentare la privacy durante la navigazione con Safari.
La criticità emerge quando un sito richiede una passkey oppure simula il supporto a questo sistema di autenticazione. In queste circostanze, la richiesta non viene gestita all’interno del normale ambiente del browser. Al contrario, interviene un servizio di sistema dedicato alla gestione delle credenziali, che effettua direttamente il collegamento necessario.
come funzionano le richieste delle passkey
Il passaggio attraverso il servizio di sistema rappresenta l’elemento centrale della vulnerabilità. Private Relay protegge soltanto il traffico che transita da Safari, mentre le richieste gestite al di fuori della normale struttura del browser non seguono lo stesso percorso. Di conseguenza, il sito che riceve la richiesta può visualizzare l’IP autentico del dispositivo.
L’esposizione può verificarsi senza segnali evidenti. L’interazione appare infatti simile a una normale procedura di accesso tramite passkey e l’utente potrebbe non accorgersi che la connessione non è stata protetta da Private Relay.
il problema riguarda anche i browser alternativi
La portata della falla non è limitata a Safari. Su iOS, Apple richiede che i browser utilizzino il motore WebKit; per questo motivo, anche le applicazioni alternative possono risultare esposte allo stesso comportamento. Il problema è stato osservato persino in OnionBrowser, un’applicazione focalizzata sulla privacy e utilizzata sulla rete Tor.
Le VPN tradizionali installate a livello di sistema operativo non sembrano invece coinvolte. Questi strumenti cifrano il traffico direttamente a livello di sistema e non dipendono dai proxy integrati nelle singole applicazioni.
un sito di test verifica l’esposizione dell’ip
Per verificare il comportamento, i ricercatori hanno realizzato un sito di prova capace di controllare se il dispositivo comunica il proprio indirizzo IP effettivo. I test riportati indicano che il sistema può restituire l’indirizzo reale anche con iCloud Private Relay attivato.
apple sta analizzando la vulnerabilità
La segnalazione arriva dopo un altro problema relativo a una funzione per la privacy di Apple, Hide My Email, che aveva esposto gli indirizzi email reali degli utenti prima della correzione. La nuova vulnerabilità legata alle passkey è ancora oggetto di verifica e non è stato comunicato quando Apple interverrà né quale soluzione verrà adottata.
Lascia un commento