La promessa di navigazione anonima di iCloud Private Relay è stata scossa da una scoperta che tocca il cuore del sistema operativo Apple. Un gruppo di ricercatori ha individuato tre diverse tecniche che sfruttano funzioni integrate in WebKit – il motore alla base di tutti i browser su iOS e macOS – per aggirare il relay e rivelare l’indirizzo IP reale dell’utente. Il problema è amplificato dal fatto che, su iPhone e iPad, ogni browser è obbligato a usare WebKit, rendendo vulnerabile non solo Safari ma anche alternative come Chrome o Firefox.
Come funziona l’attacco
Le tre falle scoperte agiscono a livelli diversi, tutte riconducibili a funzioni standard di WebKit che, in determinate condizioni, bypassano il tunnel di Private Relay. Due di queste riguardano la gestione del DNS: attraverso meccanismi come il prefetching DNS e la risoluzione anticipata, il browser contatta direttamente i server DNS configurati dal sistema, esponendo sia l’indirizzo IP pubblico sia l’identità del resolver utilizzato. La terza fa leva su WebRTC, un insieme di API usate per comunicazioni in tempo reale, che può rivelare l’IP locale e pubblico anche quando il traffico dovrebbe passare dal relay.
Private Relay è pensato per separare l’identità dell’utente dalla sua attività online: il traffico passa attraverso due relay distinti gestiti da Apple e da un partner di rete, in modo che nessuno dei due veda sia l’IP sia la destinazione. Le falle di WebKit interrompono questa separazione, permettendo a un sito malevolo di recuperare direttamente l’IP reale del dispositivo.
Perché WebKit rende insicuri tutti i browser su iOS
Su iOS, la politica della “walled garden” di Apple impone che ogni applicazione che visualizza pagine web debba basarsi sul motore WebKit. Ciò significa che anche browser come Chrome, Edge o Firefox, quando installati su iPhone o iPad, non usano il proprio motore di rendering ma devono appoggiarsi a quello del sistema. Di conseguenza, qualsiasi vulnerabilità di WebKit si trasforma automaticamente in una falla universale per tutti i browser sulla piattaforma. Su macOS, invece, la scelta del motore è libera, ma lo stesso bug colpisce Safari e qualsiasi altra app che utilizzi le WebView di sistema.
La risposta di Apple
Secondo quanto riportato dalle fonti, Apple è stata informata dai ricercatori e sta lavorando a una correzione per tutte le versioni supportate di iOS, iPadOS e macOS. Al momento non esiste una data certa per il rilascio della patch, ma è probabile che la soluzione venga integrata in uno dei prossimi aggiornamenti minori del sistema operativo. Nel frattempo, la vulnerabilità non sembra essere stata sfruttata attivamente in attacchi diffusi, ma il rischio per gli utenti particolarmente attenti alla privacy rimane concreto.
Cosa significa per chi legge
Chi utilizza iCloud Private Relay su iPhone, iPad o Mac dovrebbe essere consapevole che, almeno fino al rilascio della patch, l’anonimato non è assoluto. Ecco alcune considerazioni pratiche:
- Reti pubbliche e Wi-Fi aperti: evitare di trasmettere dati sensibili quando si è connessi a hotspot non fidati, perché l’IP reale potrebbe essere esposto a siti web malevoli o a osservatori sulla rete locale.
- Navigazione anonima: non fare affidamento esclusivo su Private Relay per mascherare la propria identità su iOS; finché la falla non viene chiusa, l’indirizzo IP può trapelare attraverso WebKit anche in modalità di navigazione privata.
- Aggiornamenti software: appena Apple rilascerà l’aggiornamento correttivo, installarlo immediatamente per ripristinare la piena protezione. Nel frattempo, può essere prudente limitare l’uso di Safari su reti sospette e preferire connessioni VPN che incapsulano tutto il traffico del dispositivo, non solo quello del browser.