// SMARTWORLD — CYBERSECURITY
iCloud Private Relay avrebbe un buco serio: i passkey espongono il tuo IP reale anche con la protezione attiva
iCloud Private Relay è una delle funzioni di punta di iCloud+, il piano a pagamento di Apple: promette di nascondere il vostro indirizzo IP durante la navigazione in Safari, rendendo più difficile tracciarvi. Peccato che due ricercatori di sicurezza, Tommy Mysk e Talal Haj Bakry, abbiano scoperto che questa protezione ha un buco piuttosto serio, legato proprio ai passkey, la tecnologia che dovrebbe sostituire le password tradizionali.
Il problema è stato segnalato ad Apple, che ha confermato di essere a conoscenza della questione e di star indagando. Per ora, però, non esiste ancora una correzione.
Il meccanismo è questo: quando un sito web chiede di autenticarsi tramite passkey, oppure finge semplicemente di supportarli, la richiesta di rete non passa attraverso il normale stack di Safari. Interviene invece il servizio di credenziali a livello di sistema di Apple, che gestisce la connessione direttamente, al di fuori del browser. iCloud Private Relay protegge solo il traffico che transita per Safari, quindi queste richieste lo aggirano completamente, esponendo l'IP reale del dispositivo.
La cosa più fastidiosa è che l'utente non si accorge di nulla: l'interazione appare del tutto normale, come parte di un flusso di accesso standard.
Il problema non riguarda solo Safari. Poiché Apple obbliga tutti i browser su iOS a usare il motore WebKit, la vulnerabilità colpisce qualsiasi browser installato sull'iPhone, incluse le app orientate alla privacy come OnionBrowser sulla rete Tor. Chi usa una VPN tradizionale, invece, è al sicuro: le VPN cifrano il traffico a livello di sistema operativo, non si affidano ai proxy applicativi come fa Private Relay.
I ricercatori hanno anche creato un sito di test (che al momento ci risulta irraggiungibile) per verificare il comportamento: stando ai risultati, il dispositivo restituisce l'IP reale anche con Private Relay abilitato.
Vale la pena ricordare che nelle ultime settimane Apple ha già dovuto correggere un altro problema simile: una falla nella funzione Hide My Email, sempre parte di iCloud+, che esponeva l'indirizzo email reale degli utenti prima che venisse distribuita la patch.
Se avete attivato iCloud Private Relay pensando di essere protetti durante l'autenticazione con passkey, purtroppo non è così, almeno per ora. E considerato che i passkey sono sempre più diffusi, il problema è tutt'altro che marginale.