La funzione Private Relay di Apple potrebbe rivelare il tuo indirizzo IP a siti web e servizi
Privacy a rischio su iOS: la funzione Private Relay di Apple può esporre l’indirizzo IP
La funzione Private Relay di Apple, progettata per nascondere l’indirizzo IP degli utenti durante la navigazione web su Safari, non sempre funziona come previsto. Secondo i ricercatori di sicurezza Talal Haj Bakry e Tommy Mysk, problemi nel motore del browser WebKit di Apple possono compromettere l’anonimato promesso.
Uno dei problemi riscontrati è legato all’uso delle passkey, un metodo di accesso sicuro e senza password sempre più diffuso. Come spiegato da 404Media, quando si utilizza una passkey per accedere a un servizio, il dispositivo effettua una richiesta di autenticazione esterna al browser. Poiché Private Relay è una funzionalità di iCloud+ strettamente legata a Safari e non protegge l’identità dell’utente su tutto il dispositivo come farebbe una vera VPN, l’indirizzo IP può essere esposto se si accede a un sito web o a un servizio tramite passkey su Safari.
La possibilità di una fuga dell’IP non è confinata a Safari. Poiché il problema risiede in WebKit, utilizzato da tutti i browser iOS, l’indirizzo IP potrebbe diventare visibile a siti web e servizi anche se si utilizzano passkey su altri browser progettati per la privacy e l’anonimato, come OnionBrowser e il browser Psylo sviluppato dai ricercatori stessi.
I ricercatori hanno dichiarato in un post su X di aver già contattato OnionBrowser e il Tor Project, che fornisce la rete di anonimato utilizzata dal browser, per condividere le loro scoperte e le soluzioni. Apple ha comunicato a 404Media di stare già esaminando il rapporto dei ricercatori, ma questi ultimi hanno sottolineato che potrebbe essere necessario molto tempo prima che l’azienda risolva il problema. Hanno citato, ad esempio, la questione relativa alla funzione “Nascondi la mia email” di iCloud, scoperta da un altro team di ricerca a metà del 2025. Apple ha rilasciato una correzione, che impedisce alla funzione di rivelare i veri indirizzi email dietro gli alias, solo un anno dopo.