- Una falla scoperta da Mysk e Haj Bakry fa perdere a Private Relay l'indirizzo IP reale quando un sito richiede l'autenticazione con passkey
- Il problema nasce dalla gestione WebAuthn fuori da Safari e colpisce anche browser WebKit, incluso un client Tor su iOS
- Apple ha pianificato una correzione per l'autunno 2026 e i ricercatori offrono uno strumento online per verificare l'esposizione
iCloud Private Relay è la funzione di Apple pensata per nascondere l’indirizzo IP reale durante la navigazione su Safari. Un gruppo di ricercatori ha individuato una falla che permette a determinati siti di scoprire comunque la posizione di rete dell’utente. Il bug iCloud Private Relay riguarda in particolare l’autenticazione tramite passkey, la tecnologia pensata per sostituire le password tradizionali.
I passkey sono considerati un’alternativa più sicura alle password perché sfruttano la crittografia a chiave pubblica del protocollo WebAuthn, eliminando il rischio di furti di credenziali tramite phishing. Proprio questa architettura, però, richiede che il sistema operativo dialoghi direttamente con i server remoti per verificare l’identità dell’utente, un passaggio che in questo caso finisce per scavalcare le protezioni di rete pensate per Safari.
Come il bug iCloud Private Relay svela l’indirizzo IP
La scoperta porta la firma di Tommy Mysk e Talal Haj Bakry, due ricercatori di sicurezza che hanno pubblicato un’analisi dettagliata sul proprio sito. Secondo quanto riportato, qualsiasi sito che supporti, o finga di supportare, i passkey può risalire all’indirizzo IP reale dell’utente anche con Private Relay attivo. Va ricordato che Private Relay non è una VPN vera e propria: protegge il traffico solo all’interno di Safari, mentre una VPN opera a livello di sistema su tutto il dispositivo, un tema su cui esistono anche dubbi legati alla sorveglianza governativa su queste reti negli Stati Uniti.
Il problema nasce da alcune criticità nel motore WebKit di Apple e nel modo in cui gestisce i passkey. Per la loro natura, basata sullo standard WebAuthn, i passkey fanno sì che il dispositivo effettui una richiesta di rete al di fuori del browser stesso. Questa richiesta bypassa il canale protetto di Private Relay ed espone l’indirizzo IP reale, anche se all’utente sembra di stare semplicemente interagendo con un sito come al solito.
Come avviene il leak dell’IP: il bypass del proxy di Safari
Come spiegano i ricercatori, la richiesta viene generata dal servizio di credenziali del sistema operativo, non da Safari. Per questo non entra mai nel percorso proxato di Private Relay e il server di destinazione riceve comunque l’indirizzo IP reale del dispositivo. Si tratta di un dettaglio tecnico che sfugge alla maggior parte degli utenti, dato che l’interazione con il sito appare del tutto normale.
L’impatto su iOS e il rischio critico per la rete Tor
Su iOS il problema è aggravato da una regola di Apple che, nella maggior parte dei paesi, obbliga tutti i browser a basarsi sul motore WebKit. Questo significa che la falla non riguarda solo Safari ma qualsiasi app che si appoggi allo stesso motore per gestire i passkey. Tra le applicazioni coinvolte i ricercatori citano anche OnionBrowser, uno dei client per accedere alla rete Tor, un tema legato al funzionamento dell’onion routing alla base dell’anonimato online.
- Safari su iOS e macOS con Private Relay attivo
- Altri browser iOS basati su WebKit per obbligo di sistema
- OnionBrowser, client per la rete Tor su iOS
Mysk racconta di aver segnalato il problema al Tor Project, che lo ha definito grave. L’organizzazione non ha però fornito una tempistica precisa per la correzione, pur autorizzando la divulgazione pubblica della scoperta.
La risposta di Apple e i precedenti sulla privacy
Mysk ha inviato una segnalazione anche ad Apple, che al momento indica un intervento pianificato per l’autunno 2026. L’azienda ha confermato di essere al lavoro sul problema, senza fornire ulteriori dettagli sui tempi effettivi di rilascio della correzione. Chi vuole verificare se il proprio dispositivo è esposto può farlo tramite uno strumento online realizzato dagli stessi ricercatori.
Questa non è la prima volta che una funzione legata alla privacy di Apple mostra crepe. Il mese scorso l’azienda ha corretto un bug di Hide My Email che permetteva a chiunque di risalire all’indirizzo email reale di un utente. I due episodi, seppur diversi per meccanismo, mostrano quanto sia delicato l’equilibrio tra funzionalità e protezione dei dati quando si tratta di sistemi pensati per restare invisibili all’utente finale.
