iCloud Private Relay peut être contourné par trois fonctionnalités WebKit, exposant potentiellement votre véritable adresse IP aux sites Web lors de la navigation dans Safari.
Si vous payez pour iCloud+ et utilisez Safari, vous avez peut-être activé iCloud Private Relay pour une couche de confidentialité supplémentaire. Apple a conçu cette fonctionnalité pour empêcher les sites Web de voir votre adresse IP réelle et votre emplacement exact.
Désormais, les chercheurs en sécurité ont découvert trois façons par lesquelles certaines fonctionnalités de WebKit peuvent échapper à cette protection.
Les chercheurs Talal Haj Bakry et Tommy Mysk ont découvert que la prélecture DNS, une fonctionnalité WebAuthn connectée aux clés d’accès et WebTransport, peut contourner la configuration du proxy de WebKit. Deux de ces méthodes peuvent exposer votre véritable adresse IP (Internet Protocol). L’autre peut révéler des informations sur les serveurs DNS utilisés par votre appareil.
Ce qui rend cela particulièrement préoccupant, c’est qu’il s’agit de technologies de navigateur légitimes. Un site Web n’a pas nécessairement besoin de vous convaincre de télécharger un fichier suspect ou d’installer une application douteuse pour que les requêtes réseau se produisent.
Nouveau! Cours CyberGuy en direct gratuit : protégez votre argent des plus grandes menaces actuelles
Rejoignez-nous samedi 29 août à 10 h HE pour un cours CyberGuy LIVE gratuit couvrant cinq étapes simples pour vous aider à vous défendre contre les escroqueries, la fraude, le vol d’identité et les piratages financiers liés à l’IA. Kurt « CyberGuy » Knutsson vous expliquera comment configurer des alertes bancaires, renforcer les connexions à votre compte, protéger votre numéro de téléphone, geler votre crédit et contribuer à sécuriser votre épargne-retraite contre les transferts non autorisés. Aucune expérience technique n’est nécessaire. Vous recevrez également notre liste de contrôle de protection financière, et chaque inscrit recevra ensuite un lien vers l’enregistrement du cours.
Comment iCloud Private Relay est censé vous protéger
La conception empêche toute partie de voir à la fois qui vous êtes et quels sites Web vous visitez. Cela rend Private Relay utile si vous souhaitez réduire la quantité d’informations de localisation et de navigation que les sites Web peuvent collecter à votre sujet. Cependant, le comportement WebKit récemment documenté crée des chemins autour de ce relais.
Comment WebKit peut divulguer des informations autour de Private Relay
Les chercheurs ont identifié trois mécanismes distincts. Chacun fonctionne un peu différemment.
La prélecture DNS peut révéler votre véritable chemin réseau
Les navigateurs tentent souvent d’accélérer le chargement des sites Web en recherchant les adresses des liens avant de cliquer dessus. Ce processus est appelé prélecture DNS. Normalement, vous vous attendez à ce que ces recherches suivent le même chemin de confidentialité que le reste de votre navigation.
Les chercheurs ont découvert que WebKit peut envoyer ces requêtes DNS via la connexion DNS normale de votre appareil. En conséquence, un site Web pourrait voir les requêtes DNS provenant de votre réseau réel au lieu du proxy. Le problème est disponible sur iOS depuis iOS 26.0, selon les chercheurs.
Cela ne transmet pas directement tout ce que vous faites en ligne. Cependant, il peut exposer des informations réseau que Private Relay était censé protéger.
Le deuxième problème concerne WebAuthn, le standard Web utilisé par les mots de passe. Certaines entreprises exploitent plusieurs sites Web et souhaitent que le même mot de passe fonctionne sur ces domaines associés. WebAuthn dispose d’une fonctionnalité qui permet à un appareil de vérifier si ces sites Web appartiennent ensemble. Pour ce faire, le système d’exploitation peut contacter directement un site Web pour récupérer un petit fichier de vérification.
Selon les chercheurs, cette requête se produit en dehors du chemin réseau proxy normal de Safari. Par conséquent, le serveur de destination peut recevoir la véritable adresse IP de votre appareil même lorsque Private Relay est actif.
Il est important de noter que cette recherche ne montre pas qu’un attaquant puisse voler votre mot de passe grâce à cette faille. L’exposition à la confidentialité provient de la requête réseau utilisée lors de la vérification. Il n’y a donc aucune raison d’abandonner les mots de passe à cause de cette découverte.
WebTransport peut créer une autre connexion directe
WebTransport offre aux sites Web un moyen plus rapide de maintenir des connexions à faible latence avec les serveurs. Certains services Web interactifs peuvent bénéficier de cette vitesse.
Cependant, les chercheurs ont découvert que WebKit peut établir une connexion WebTransport directement depuis votre appareil au lieu de l’envoyer via le proxy configuré.
Lorsque cela se produit, le serveur à l’autre bout peut voir votre adresse IP réelle. Private Relay n’intercepte pas cette connexion car elle se produit en dehors du chemin réseau que Private Relay protège normalement. WebTransport est devenu accessible au public sur iOS avec iOS 26.4.
Les résultats sont particulièrement importants si vous comptez sur Safari avec iCloud Private Relay pour masquer votre adresse IP. Ils peuvent également affecter les navigateurs ou les applications axés sur la confidentialité qui utilisent la configuration proxy de WebKit. Les chercheurs ont spécifiquement examiné les navigateurs proxy basés sur WebKit sur iOS et macOS. Cela signifie que le problème va au-delà d’une fonctionnalité particulière du navigateur.
Les chercheurs affirment que les VPN ne souffrent pas de ces fuites de proxy WebKit spécifiques, car un VPN tunnelise le trafic réseau au niveau du système au lieu de s’appuyer sur la configuration du proxy au niveau du navigateur de WebKit.
Cela ne signifie pas qu’un VPN élimine toute forme de suivi en ligne. Les sites Web peuvent toujours vous reconnaître grâce aux connexions à votre compte, aux cookies et à d’autres signaux.
Ce que cette fuite iCloud Private Relay signifie pour vous
Si vous utilisez Private Relay, il n’y a aucune raison de paniquer ou de l’éteindre immédiatement. La plupart des navigations Safari suivent toujours l’architecture de confidentialité normale de Private Relay. Apple affirme que le service est conçu pour empêcher les sites Web de voir votre adresse IP et votre emplacement exact pendant la navigation sur Safari. Le problème est que certaines fonctionnalités de WebKit peuvent créer des exceptions.
Un site Web utilisant l’un de ces mécanismes pourrait potentiellement connaître votre véritable adresse IP ou des informations sur votre connexion DNS. Il se peut que vous ne voyiez pas d’avertissement évident lorsque cela se produit.
Votre adresse IP ne révélera généralement pas votre adresse personnelle. Néanmoins, cela peut révéler votre fournisseur d’accès Internet et votre emplacement approximatif. Il peut également donner aux sites Web un autre identifiant pour se connecter à d’autres informations qu’ils ont collectées à votre sujet. Pour quelqu’un qui utilise Private Relay spécifiquement parce qu’il ne veut pas que les sites Web voient ces informations, cela compte.
Nous avons contacté Apple pour obtenir des commentaires sur les conclusions des chercheurs, mais nous n’avons pas reçu de réponse avant la date limite de publication.
Comment protéger votre vie privée lorsque vous utilisez Safari
[…] La suite de l’article est à lire sur Fox News via le lien ci-dessous.
Traduit automatiquement de l’anglais. Le texte original fait foi.
Source : Fox News — Lire l’article original
À propos de l'auteur
