Pesquisadores de cibersegurança divulgaram uma falha na ferramenta iCloud Private Relay, da Apple, que pode expor o endereço IP real de um usuário.
Lançado com o iOS 15, o iCloud Private Relay usa uma arquitetura de dois saltos para reforçar a privacidade, roteando o tráfego da web no Safari por meio de dois relays.
Assim, nenhum terceiro individual, incluindo a própria Apple, consegue determinar de onde a solicitação se origina e quais sites estão sendo acessados.
O recurso faz parte da assinatura iCloud+.
Os pesquisadores Talal Haj Bakry e Tommy Mysk, que identificaram o problema, afirmam que a origem da falha está em três recursos do WebKit da Apple: DNS prefetching, WebAuthn Related Origin Requests e WebTransport.
O WebKit é o mecanismo de navegador padrão usado pelo Safari e por todos os navegadores de terceiros no iOS e no iPadOS, como Google Chrome, Microsoft Edge, Mozilla Firefox, Brave e outros.
Segundo os pesquisadores, esses três recursos “contornam o proxy configurado e enviam o tráfego diretamente do dispositivo, o que expõe a rede real do usuário”.
“As mesmas falhas de vazamento também afetam o iCloud Private Relay da Apple.”
Os problemas também atingem o macOS, além de qualquer outro navegador baseado em WebKit que dependa das APIs de configuração de proxy do WebKit.
Em todos esses casos, o endereço IP real do dispositivo pode vazar.
O DNS prefetching resolve nomes de host por meio do caminho normal de DNS do dispositivo, em vez de usar o proxy definido pelo navegador.
Já o WebAuthn Related Origin Requests faz com que o serviço de credenciais do sistema operacional busque diretamente do dispositivo um arquivo de validação.
O WebTransport, por sua vez, abre uma conexão HTTP/3 direta e ignora o proxy.
Como o WebAuthn permite que usuários entrem em sites usando passkeys, qualquer site que afirme oferecer suporte ao padrão da web pode visualizar o IP real do usuário, mesmo com o iCloud Private Relay ativado.
“Qualquer site pode configurar o WebAuthn, a API usada por passkeys, de um jeito que faça o WebKit revelar o IP real do navegador, ignorando tanto as configurações de proxy quanto o iCloud Private Relay no Safari”, disse Mysk.
“Por causa da natureza do bug, o site precisa explorar isso de forma deliberada para associar a sessão de navegação atual do usuário ao IP vazado.
Isso não exige nenhuma interação do usuário nem o uso de passkeys.”
Um site de prova de conceito, chamado “leaks.psylo[.]app”, foi disponibilizado para que qualquer pessoa verifique se o próprio IP real está vazando, mesmo com o Private Relay ativado.
Embora a seção “HTTPS Traffic” mostre o tráfego de rede normal gerado pelo WebKit ao se conectar a um site, “Possible IP leaks” indica como o endereço IP real do dispositivo pode escapar do caminho de proxy configurado.
“Usamos o termo ‘possível’ porque nem todos os navegadores são afetados, como o Chrome para desktop, por exemplo, e os vazamentos também são mitigados quando o usuário está conectado a uma VPN”, acrescentou Mysk.
A Apple não respondeu imediatamente ao pedido de comentário.
No entanto, a empresa informou ao 404 Media que está investigando o relatório dos pesquisadores.
Esta não é a primeira vez que falhas de segurança são descobertas no iCloud Private Relay.
Pouco depois de o recurso ser lançado, em 2021, a FingerprintJS apontou um mecanismo baseado em WebRTC que vazava o IP real do cliente.
A divulgação ocorre pouco mais de um mês depois de a empresa, sediada em Cupertino, corrigir outra vulnerabilidade no serviço Hide My Email, que permitia expor os endereços de e-mail reais dos usuários em determinadas condições, comprometendo as garantias de privacidade da ferramenta.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...