Apple iCloud Private Relay Non è così privata come si pensa, può rivelare l’IP

Un team di ricercatori ha scoperto una vulnerabilità nei servizi di privacy di Apple, che potrebbe rivelare l’indirizzo IP degli utenti. L’errore riguarda il servizio iCloud Private Relay, un’opzione a pagamento per chi utilizza iCloud Plus. Nonostante il servizio sia progettato per nascondere il traffico web e proteggere l’identità degli utenti, i ricercatori hanno dimostrato che l’IP di un dispositivo o di una rete domestica può essere trasmesso, mettendo a rischio la privacy. La scoperta è stata resa pubblica dopo che i ricercatori hanno deciso di non segnalarla a Apple, temendo un ritardo nel risoluzione del problema.

La vulnerabilità di iCloud Private Relay

Il servizio iCloud Private Relay, incluso nel framework WebKit di Apple, è stato progettato per nascondere l’indirizzo IP degli utenti e le pagine web visitate. Tuttavia, i ricercatori Talal Hak Bakry e Tommy Mysk hanno scoperto che, in alcuni casi, l’IP può essere rivelato. I ricercatori hanno creato un sito web per testare la vulnerabilità e hanno confermato che, utilizzando un iPhone 17 Pro e un MacBook Pro con iCloud Private Relay attivo, l’IP del router domestico è stato visibile. Questo potrebbe permettere a terzi di identificare l’utente o la sua posizione.

Perché i ricercatori hanno reso pubblica la scoperta

I ricercatori hanno scelto di rendere pubblica la vulnerabilità anziché segnalarla a Apple, a causa dell’esperienza passata con la società. Hanno spiegato che il processo di segnalazione potrebbe richiedere mesi, con comunicazioni inconsistenti e, in alcuni casi, il rifiuto di riconoscere l’impatto del problema. Non eravamo disposti a attendere mesi o addirittura un anno, rimanendo in silenzio su bug che mettono in pericolo le garanzie di privacy di Psylo e dei browser Tor su iOS, hanno scritto. Non è stato possibile ottenere una risposta da un rappresentante di Apple.

La vulnerabilità è stata collegata a tecnologie come passkey, un metodo di autenticazione più sicuro rispetto alle password. I ricercatori hanno spiegato che il sistema WebKit bypassa il proxy di Private Relay e invia direttamente le informazioni dal dispositivo, rivelando l’IP reale. Altri fattori, come il prefetching DNS e il metodo WebTransport, possono anche esporre l’indirizzo IP, sebbene richiedano codice specifico nel HTML del sito web. Questi errori mettono in discussione la privacy garantita da Apple e sollevano preoccupazioni sui servizi di sicurezza della società.

La scoperta arriva in un momento in cui Apple ha già affrontato critiche per un bug nel servizio iCloud Hide My Email, che ha esposto gli indirizzi email reali degli utenti. Questo problema è oggetto di una causa legale per false pubblicità, frode e violazione del contratto. La sicurezza di Apple, quindi, è sotto pressione, e la scoperta di nuove vulnerabilità potrebbe portare a ulteriori critiche e richieste di miglioramenti da parte degli utenti e degli esperti di sicurezza.

Il servizio iCloud Private Relay non è un VPN, ma un meccanismo che utilizza proxy per nascondere l’indirizzo IP. Tuttavia, alcuni metodi di accesso web, come il passkey, possono bypassare il sistema di protezione. I ricercatori hanno sottolineato che, sebbene il servizio offra un certo livello di privacy, non è infallibile. Gli utenti devono essere consapevoli dei rischi e delle limitazioni del sistema, soprattutto quando si utilizzano applicazioni o servizi che interagiscono con il framework WebKit. La questione sollevata dai ricercatori riguarda non solo la privacy, ma anche la fiducia degli utenti nei confronti di Apple. Se i servizi di sicurezza non sono completamente affidabili, potrebbe generare preoccupazioni e perdita di credibilità. La risposta di Apple, o la mancanza di essa, potrebbe influenzare la percezione del brand e la sua capacità di mantenere la leadership nel settore tecnologico.