Apple iCloud Private Relay Non è così privata come sembra, può rivelare l’indirizzo IP
Ricerca rivela che il servizio di privacy di Apple può rivelare l’indirizzo IP, mettendo a rischio la sicurezza degli utenti.
Un team di ricercatori ha scoperto una vulnerabilità nel servizio iCloud Private Relay di Apple, che potrebbe rivelare l’indirizzo IP di un dispositivo o di una rete domestica, mettendo a rischio la privacy degli utenti. La scoperta, pubblicata da 404 Media, ha messo in luce come il meccanismo non sia realmente quanto promesso da Apple. La ricerca, condotta da Talal Hak Bakry e Tommy Mysk, ha dimostrato che, anche con il servizio attivo, l’indirizzo IP può essere trasmesso, permettendo a terzi di identificare l’utente o la sua posizione.
Privacy non garantita come promesso
Il servizio iCloud Private Relay, disponibile solo per i clienti di iCloud Plus, è stato progettato per proteggere il traffico web, nascondendo l’indirizzo IP e l’indirizzo del sito visitato. Tuttavia, i ricercatori hanno scoperto che il meccanismo non è completamente efficace. L’indirizzo IP può essere rivelato attraverso diversi metodi, tra cui la tecnologia passkey, che permette l’autenticazione in modo più sicuro, ma bypassa il proxy del servizio. Inoltre, il sistema non protegge le richieste di dati tramite DNS prefetching o WebTransport, due metodi che permettono a siti web di ottenere informazioni direttamente dal dispositivo.
Le vulnerabilità non sono solo tecniche
La scoperta non è solo un problema tecnico, ma anche un’esperienza di comunicazione con Apple. I ricercatori hanno spiegato che, in passato, hanno avuto esperienze negative nel segnalare problemi a Apple, con ritardi, mancanza di comunicazione e, in alcuni casi, negazione dell’impatto del problema. Per questo motivo, hanno deciso di rendere pubblica la vulnerabilità, anziché segnalarla internamente. La loro motivazione è stata chiara: non volevano attendere mesi o anni per risolvere bug che compromettono la privacy dei browser Tor e Psylo, utilizzati da utenti che si preoccupano della sicurezza. Per verificare se il proprio connessione è vulnerabile, i ricercatori hanno creato un sito web che permette agli utenti di testare la propria connessione. Quando l’autore dell’articolo ha provato il test su un iPhone 17 Pro e un MacBook Pro con iCloud Private Relay attivo, il sito ha correttamente identificato l’indirizzo IP del router domestico. Questo indica che la vulnerabilità è reale e può essere sfruttata da attaccanti per raccogliere informazioni sensibili.
Un servizio di sicurezza in discussione
La scoperta ha sollevato preoccupazioni su come Apple gestisce la sicurezza dei suoi servizi. Nonostante il servizio iCloud Private Relay sia stato promosso come una soluzione avanzata per la privacy, i ricercatori hanno dimostrato che non è immune a vulnerabilità. Inoltre, il problema non è isolato: recentemente, è emerso un bug nel servizio iCloud Hide My Email, che ha esposto gli indirizzi email reali degli utenti. Questo ha portato a un’azione legale contro Apple, accusata di false pubblicità e frode.
La questione sollevata dai ricercatori non riguarda solo la tecnologia, ma anche la responsabilità di Apple nel garantire la privacy ai propri utenti. Sebbene il servizio sia disponibile solo per i clienti di iCloud Plus, la sua vulnerabilità potrebbe influenzare la fiducia degli utenti in un prodotto che promette sicurezza. La risposta di Apple non è ancora arrivata, ma la pubblicazione della vulnerabilità ha messo in luce un problema che potrebbe richiedere una revisione completa del sistema di protezione dei dati.