I ricercatori di sicurezza hanno identificato molteplici comportamenti nel Apple motore browsere WebKit che possono rivelare il vero indirizzo IP di un utente anche quando il traffico viene instradato tramite servizi proxy focalizzati sulla privacy. I risultati suggeriscono che alcune funzionalità del browser potrebbero bypassare i proxy configurati, potenzialmente compromettendo l’anonimato per chi si affida a strumenti come iCloud Private Relay o browser sulla privacy basati su proxy.
La ricerca è stata condotta da Talal Haj Bakry and Tommy Mysk , gli sviluppatori dietro Mysk, un’azienda focalizzata su software per la privacy per Apple piattaforme. Secondo il loro rapporto, hanno iniziato a indagare dopo che gli utenti del loro browser orientato alla privacy, Psylo, hanno segnalato richieste DNS inaspettate che sembravano bypassare la configurazione proxy dell’applicazione.
La loro analisi ha identificato tre componenti WebKit separati che possono comunicare direttamente su internet invece di seguire il percorso proxy configurato dal browser. Di conseguenza, siti web o osservatori di rete potrebbero essere in grado di determinare l’indirizzo IP effettivo di un visitatore in determinate circostanze.
Un problema riguarda il pre-pre-pre-recet DNS, una funzione di prestazioni che risolve i nomi di dominio prima che l’utente visiti effettivamente le risorse collegate. I ricercatori hanno scoperto che queste ricerche possono utilizzare la configurazione DNS standard del dispositivo invece del proxy, esponendo potenzialmente informazioni sulla rete dell’utente.
Il secondo comportamento riguarda le WebAuthentication Related Origin Requests, un meccanismo progettato per supportare l’autenticazione tramite passkey su siti web correlati. Secondo i ricercatori, queste richieste provengono dal Apple servizio di gestione delle credenziali di , anziché dal browser stesso, permettendo loro di bypassare le impostazioni del proxy. Avvertono che un sito web appositamente creato potrebbe sfruttare questo comportamento per attivare richieste che rivelano l’indirizzo IP reale del visitatore.
La terza questione riguarda WebTransport, un moderno protocollo di comunicazione supportato dalle recenti versioni di WebKit. I ricercatori affermano che le connessioni WebTransport possono stabilire sessioni HTTP/3 dirette che ignorano le rotte proxy configurate, esponendo nuovamente l’indirizzo di rete del dispositivo di origine. Hanno osservato che i browser con WebTransport disabilitato, inclusi alcuni implementi basati su Tor, non sono influenzati da questo comportamento specifico.
I risultati hanno implicazioni più ampie perché ogni browser disponibile su iOS è tenuto a utilizzare Apple il motore di rendering WebKit di . Di conseguenza, gli sviluppatori non possono sostituire il comportamento di rete sottostante con un motore di navigazione alternativo, il che significa che i problemi osservati potrebbero influenzare più browser costruiti per Apple la piattaforma mobile di .
I ricercatori hanno anche riferito che Apple ‘iCloud Private Relay può essere influenzato perché le richieste identificate possono avvenire al di fuori del meccanismo proxy destinato a nascondere gli indirizzi IP degli utenti. Private Relay è progettato per migliorare la privacy criptando il traffico DNS e instradando le richieste internet attraverso server relay separati, in modo che né Apple i siti web ricevano un quadro completo dell’attività di navigazione di un utente. Se alcune richieste bypassano quel processo di instradamento, le protezioni sulla privacy previste potrebbero non applicarsi in quei casi.
Per ridurre il rischio, il team Mysk ha aggiornato il browser Psylo disabilitando di default il pre-precarico DNS, WebTransport e WebAuthn. Gli sviluppatori hanno detto che queste modifiche eliminano le fughe di notizie, anche se alcune funzionalità del browser potrebbero essere ridotte. Gli utenti che necessitano delle funzionalità interessate possono abilitarle individualmente se necessario.
I ricercatori hanno inoltre condiviso i loro risultati con il Tor Project e gli sviluppatori di Onion Browser, che dovrebbero valutare se mitigazioni simili siano appropriate per il loro software. Al momento della pubblicazione del rapporto, Apple non avevano ancora risposto pubblicamente ai risultati.