Apple promuove iCloud Private Relay(nuova finestra) come un modo per navigare sul web senza esporre il tuo indirizzo IP. Un nuovo report di 404 Media(nuova finestra), tuttavia, mostra che questa promessa è stata infranta.
I ricercatori di sicurezza Tommy Mysk e Talal Haj Bakry(nuova finestra) hanno trovato le falle alla base di WebKit, il motore browser alla base di ogni browser iOS, e hanno creato un sito di verifica(nuova finestra) che consente a chiunque di verificare se il proprio dispositivo sia esposto. 404 Media ha eseguito tale verifica e ha confermato che l’exploit funziona.
Come funziona la perdita
Una delle falle riguarda le chiavi di accesso, lo standard di login pensato per sostituire le password. Quando un sito supporta (o semplicemente dichiara di supportare) le chiavi di accesso, il tuo dispositivo effettua una richiesta di credenziali tramite il sistema operativo anziché Safari. Tale richiesta ignora completamente il proxy di Private Relay(nuova finestra), quindi il sito vede il tuo vero indirizzo IP mentre tutto sullo schermo appare normale e protetto.
Poiché ogni browser iOS funziona su WebKit, il problema colpisce anche OnionBrowser(nuova finestra), un’app creata per instradare il traffico attraverso Tor (il Tor Browser(nuova finestra) ufficiale non ne è interessato).
Apple afferma che sta indagando; lo sviluppatore di OnionBrowser ha dichiarato a 404 Media che Apple ha definito il problema “disastroso” senza fornire una tempistica per la risoluzione(nuova finestra).
Il secondo strumento per la privacy di Apple a fallire in due mesi
A luglio, 404 Media ha riferito che Hide My Email, la funzionalità di alias usa e getta di Apple, ha esposto i veri indirizzi degli utenti per oltre un anno(nuova finestra).
Apple ha affermato di aver risolto il bug due volte prima di correggerlo effettivamente. La falla: se un messaggio inviato a un alias nascosto veniva respinto come spam, anche se legittimo, l’indirizzo reale poteva trapelare nei log di posta del mittente, senza alcun modo per l’utente di saperlo.
È la seconda volta in due mesi che una funzionalità di privacy di iCloud a pagamento fallisce, in entrambi i casi scoperta da ricercatori esterni. Questo concorda con quanto abbiamo scritto in merito alle affermazioni sulla privacy dell’iPhone di Apple che non reggono a un attento esame.
Private Relay non sostituisce una VPN
Private Relay protegge solo Safari, non il tuo intero dispositivo. Una VPN dedicata crittografa tutto il traffico del dispositivo, quindi il tuo vero IP non raggiunge mai i siti che visiti, motivo per cui una VPN di cui ti fidi è ancora importante anche con Private Relay attivo. Le app di Proton VPN, ad esempio, sono open source e verificate in modo indipendente.
La stessa logica si applica alle email. Se vuoi registrarti a qualcosa senza fornire il tuo vero indirizzo, gli alias di hide-my-email di Proton Mail ti consentono di fare proprio questo.
Una funzionalità per la privacy è valida solo quanto lo è l’azienda disposta a individuare e correggere i propri errori. Apple ha trascorso anni a promettere: “Quello che succede sul tuo iPhone, resta sul tuo iPhone.”(nuova finestra)
Tuttavia, per due volte in due mesi, questo si è dimostrato falso.
