Présentation
Apple Private Relay, une fonctionnalité facultative conçue pour masquer l'adresse IP d'un utilisateur lorsqu'il navigue sur Internet avec Safari, peut être contournée pour révéler l'adresse IP réelle en raison de plusieurs failles. Les chercheurs Talal Haj Bakry et Tommy Mysk ont découvert ces problèmes et les ont documentés dans un article de blog.
Fonctionnement de Private Relay
Private Relay est une fonctionnalité exclusive aux abonnés iCloud+, qui ne fonctionne qu'avec Safari. Contrairement à un réseau privé virtuel (VPN), qui protège l'adresse IP au niveau système, Private Relay n'offre de protection qu'au niveau du navigateur. Les chercheurs ont identifié trois fonctionnalités dans le moteur de navigation WebKit d'Apple, utilisé par tous les navigateurs sous iOS, comme étant à l'origine du problème.
Implications et limites
Les chercheurs ont créé un site web permettant à quiconque de vérifier si son adresse IP réelle fuit, même si Private Relay est activé. Les tests ont confirmé que le site pouvait révéler l'adresse IP réelle. Les chercheurs ont choisi de ne pas signaler cette faille à Apple, citant des expériences passées difficiles avec la société. Ils ont plutôt développé des mitigations dans leur navigateur privé appelé Psylo, qui empêchent les adresses IP des utilisateurs de fuiter.
Les chercheurs ont utilisé les fonctionnalités de WebKit pour créer un site web capable de révéler l'adresse IP réelle d'un utilisateur.
