Apple iCloud Private Relay Non è così privata come sembra, può rivelare l’indirizzo IP
Ricerca rivela che il servizio di privacy di Apple può rivelare l’indirizzo IP, mettendo a rischio la privacy degli utenti.
Apple iCloud Private Relay, un servizio di privacy promesso per proteggere le comunicazioni web, potrebbe non essere così sicuro come si pensa. Secondo una ricerca condotta da due ricercatori, Talal Hak Bakry e Tommy Mysk, il sistema non sempre nasconde l’indirizzo IP dell’utente, mettendo a rischio la sua identità e posizione. La scoperta, pubblicata da 404 Media, ha suscitato preoccupazioni tra gli esperti di sicurezza e gli utenti che utilizzano il servizio di Apple.
Privacy non garantita in alcuni casi
Il servizio iCloud Private Relay, disponibile solo per i clienti di iCloud Plus, è progettato per nascondere l’indirizzo IP del dispositivo e del router di casa. Tuttavia, i ricercatori hanno scoperto che in alcuni casi, l’indirizzo IP può essere trasmesso, permettendo a terzi di identificare l’utente. La ricerca ha incluso test su dispositivi come iPhone 17 Pro e MacBook Pro, dove l’indirizzo IP del router è stato rivelato.
La vulnerabilità non è un caso isolato
I ricercatori hanno spiegato che il problema è legato a tecnologie come passkey, un metodo di autenticazione più sicuro rispetto alle password. WebKit, il framework utilizzato da Safari e altri servizi Apple, bypassa il sistema di Private Relay e invia direttamente le informazioni al sito richiesto. Questo significa che il sito destinatario vede l’indirizzo IP reale del dispositivo, nonostante il servizio di privacy sia attivo.
Altri canali di rivelazione
Oltre al passkey, ci sono due altri metodi che possono rivelare l’indirizzo IP anche con iCloud Private Relay attivo. Il primo è il DNS prefetching, un meccanismo che permette ai siti di richiedere dati prima che siano necessari, bypassando il sistema di relay. Il secondo è WebTransport, un metodo a bassa latenza che apre una connessione diretta, ignorando il relay e inviando l’IP reale. Entrambi i metodi richiedono che il sito includa un codice specifico nel proprio HTML per attivarli. I ricercatori hanno scelto di rendere pubblica la vulnerabilità anziché segnalarla a Apple, spiegando che il processo di segnalazione è stato in passato lento e poco collaborativo. “Non eravamo disposti a aspettare mesi o anni per non fare nulla su bug che compromettono la privacy”, hanno scritto. Apple non ha ancora commentato la questione, ma la scoperta ha sollevato preoccupazioni su come i servizi di privacy siano realmente protetti. Con questa scoperta, gli utenti dovranno valutare se il servizio di Apple è sufficientemente sicuro per le loro esigenze di privacy. Mentre i ricercatori hanno reso pubblica la vulnerabilità, la questione rimane aperta e richiede una risposta da parte di Apple per garantire una maggiore sicurezza ai propri utenti.
—