Il relay privato iCloud non nasconde l'IP, le falle di Apple

Private Relay dovrebbe nascondere il proprio indirizzo IP quando si naviga con Safari. È una funzione a pagamento, disponibile solo per gli abbonati iCloud+, che promette privacy durante la navigazione web. Due ricercatori di sicurezza hanno dimostrato che non funziona, l’IP reale è visibile nonostante Private Relay sia attivo. Talal Haj Bakry e Tommy Mysk hanno pubblicato le falle martedì e hanno creato un sito web dove chiunque può verificare se il proprio IP reale trapela.

Private Relay di Apple non protegge l’IP: scoperta una falla che rivela l’indirizzo reale

Le falle risiedono in tre funzionalità di WebKit, il motore del browser di Apple usato da tutti i browser su iOS. Non solo Safari, qualsiasi browser su iPhone usa WebKit, e tutti sono vulnerabili.

Private Relay non è una VPN. Non protegge l’IP a livello di sistema, funziona solo durante la navigazione con Safari. Se si usa un’app che non è Safari, Private Relay non fa nulla. E adesso si scopre che anche con Safari, l’IP può trapelare.

I ricercatori hanno scelto di non segnalare la falla ad Apple perché, secondo la loro esperienza, segnalare questo problema avrebbe comportato mesi di ritardi, comunicazione incoerente, e in alcuni casi, negazione dell’impatto del problema. Non sarebbe la prima volta, del resto. È capitata la stessa cosa al ricercatore Tyler Murphy con Nascondi la mia email, che ha segnalato il bug un anno fa senza che Apple lo correggesse.

L’atteggiamento riluttante di Apple sulla privacy

Apple vende la privacy come valore fondamentale del brand, ma degli strumenti di privacy che non funzionano è peggio che non averli affatto, perché l’utente crede di essere protetto e agisce di conseguenza.

Mysk e i colleghi hanno sviluppano Psylo, un browser privato che dicono avere mitigazioni per impedire il leak dell’IP. Ma la soluzione non dovrebbe essere quella di usare un altro browser, piuttosto dovrebbe essere Apple a garantire il corretto funzionamento di una funzione per cui, nel caso di Private Relay, è richiesto anche un abbonamento a iCloud+.