Il servizio iCloud Private Relay di Apple, quello che promette di tenere nascosto l’indirizzo IP di chi naviga con Safari, ha un problema. E non da poco. Due ricercatori di sicurezza, Tommy Mysk e Talal Haj Bakry, hanno scoperto che in certe situazioni la protezione salta e l’indirizzo IP reale finisce dritto ai siti web. Il colpevole? I passkey, o meglio i siti che li usano o fingono di usarli.
Come funziona la falla nei passkey
Va detto subito cosa fa davvero iCloud Private Relay, perché qui c’è un fraintendimento comune. Il servizio è incluso nei piani a pagamento iCloud+ e serve a mascherare le informazioni su IP e DNS quando si naviga con Safari. Non è però una VPN, quindi non copre tutto il traffico che esce dal dispositivo. Ed è proprio qui che casca l’asino.
I passkey si basano sullo standard WebAuthn, che salva una chiave privata direttamente sul dispositivo e non dentro il browser. Quando il sistema invia una richiesta a un sito, questa richiesta non passa dal filtro di Private Relay. Nel dettaglio, WebKit affida le operazioni WebAuthn al servizio di credenziali del sistema operativo, che spedisce la richiesta HTTPS per conto suo, senza sapere nulla del proxy che l’app aveva configurato. Il risultato è che il server di destinazione vede comunque l’IP vero.
La parte inquietante è un’altra. Una pagina può impostare il parametro rpId su un host qualsiasi e la richiesta parte anche senza che l’utente tocchi nulla. Con la modalità mediation impostata su conditional non compare nessuna finestra, nessun avviso, niente. In pratica un malintenzionato può creare un sito che usa WebAuthn e ottenere l’IP di una persona senza che questa se ne accorga minimamente. Nessun prompt, nessun segnale che qualcosa stia accadendo in sottofondo.
Non solo passkey, ci sono altre due falle
Il lavoro di Mysk e Haj Bakry non si ferma ai passkey. I due hanno trovato altri due punti deboli dentro WebKit che possono far trapelare IP e dati DNS. Il primo è il DNS prefetching, aggiunto con iOS 26, che rivela quali server DNS sta usando l’utente. Il secondo è WebTransport, arrivato con iOS 26.4, che può esporre l’indirizzo IP. Due strade diverse, stesso esito.
Apple, interpellata sulla questione, ha fatto sapere di stare esaminando il rapporto. Per ora niente di più. I ricercatori hanno anche messo online un sito che permette di verificare in prima persona se il proprio indirizzo IP è esposto. E siccome il problema è radicato nel modo in cui funziona WebKit, la cosa tocca pure alcuni browser di terze parti che si appoggiano allo stesso motore.
La palla ora è nel campo di Apple, che dovrà mettere mano al codice per chiudere queste falle. Nel frattempo chi vuole una protezione più solida può affidarsi a una VPN, che a differenza di Private Relay copre davvero tutto il traffico in uscita dal dispositivo.
