Recenti scoperte sollevano dubbi sulla sicurezza di iCloud Private Relay, evidenziando una falla che potrebbe portare a delle perdite di IP, esponendolo nonostante le protezioni. Molti utenti si affidano a questo servizio Apple per navigare in modo più privato su Safari, convinti di mascherare la propria posizione e le attività online. Tuttavia, un'interazione apparentemente innocua con un sito web potrebbe vanificare tutto.

Analizziamo insieme cosa sta succedendo, quali sono i rischi concreti e, soprattutto, come puoi proteggerti.

Cos'è l'iCloud Private Relay e come proteggerti?

Prima di entrare nel vivo del problema, facciamo un passo indietro. L'iCloud Private Relay, incluso negli abbonamenti iCloud+, non è una vera e propria VPN. È un servizio intelligente progettato per aumentare la tua privacy durante la navigazione con Safari.

Il suo funzionamento si basa su un'architettura a due server separati (o "hop"). Infatti il primo server, gestito da Apple, cifra le tue richieste DNS e nasconde il tuo indirizzo IP a chiunque, tranne che al tuo provider di rete. Il secondo server, gestito da un partner esterno, genera un indirizzo IP temporaneo e ti connette al sito di destinazione.

In questo modo, né Apple né il sito web che visiti possono avere un quadro completo di chi sei e cosa stai facendo. Una soluzione elegante ed efficace, almeno in teoria.

Se ti interessa conoscere diversi tipi di VPN, leggi il nostro approfondimento.

La falla in WebKit: il tallone d'Achille della privacy Apple

Il problema non risiede direttamente nell' iCloud Private Relay, ma in qualcosa di molto più profondo: il WebKit. Si tratta del motore di rendering che, per le policy sulla privacy di Apple, deve essere utilizzato da tutti i browser su iOS, incluso Safari.

Una recente analisi dei ricercatori Tommy Mysk e Talal Haj Bakry ha svelato una vulnerabilità preoccupante. In pratica, quando un sito web supporta l'autenticazione tramite passkey, il sistema può avviare una richiesta di rete separata. Questa richiesta, purtroppo, non passa attraverso il tunnel protetto dall' iCloud Private Relay. Di conseguenza, il server di destinazione riceve il tuo indirizzo IP reale, bypassando completamente la protezione che pensavi di avere.

Già in precedenza sono state scoperte delle vulnerabilità su WebKit. Approfondisci con il nostro articolo.

Come i passkey possono causare la perdita di dati

L'aspetto più insidioso è che non è richiesta alcuna azione complessa. È sufficiente interagire con una funzione di passkey su un sito malevolo per innescare la perdita di dati. Infatti non è necessario installare software, aprire allegati o cedere password. La falla sfrutta un comportamento del sistema operativo legato allo standard WebAuthn, rendendo la protezione a livello di browser meno efficace del previsto.

Questa debolezza non riguarda solo Safari: poiché tutti i browser su iOS usano WebKit, anche app focalizzate sulla privacy come OnionBrowser possono essere vulnerabili.

Quali sono i rischi reali? Panico o semplice cautela?

Prima di tutto, niente panico. È fondamentale capire la portata del rischio.

Non si tratta di un furto di account o dell'installazione di malware, ma di una fuga di informazioni che compromette il tuo anonimato. Un indirizzo IP esposto può rivelare:

• La tua localizzazione geografica approssimativa.
• Il tuo provider di servizi internet.
• Dati utili per la profilazione da parte di inserzionisti o malintenzionati.

Sebbene non sia un attacco diretto, questa informazione può essere il primo passo per azioni più mirate o per raccogliere dati su di te senza consenso.

Come puoi difendere il tuo l'iCloud Private Relay?

Apple ha dichiarato di essere al lavoro per investigare il problema.

Nell'attesa di una patch ufficiale, cosa puoi fare per navigare con maggiore sicurezza?

• Fai attenzione ai passkey: sii molto cauto quando interagisci con questa funzione su siti web che non conosci o di cui non ti fidi pienamente. La prudenza è la tua prima linea di difesa.
• Mantieni tutto aggiornato: sembra scontato, ma installare tempestivamente gli aggiornamenti di sistema non appena vengono rilasciati è cruciale. La soluzione arriverà quasi certamente tramite un update.
• Usa strumenti dedicati per l'anonimato: se hai bisogno della massima anonimità, iCloud Private Relay non è lo strumento giusto. Affidati a soluzioni più complete come il Tor Browser ufficiale, che non è affetto da questa specifica vulnerabilità.

In conclusione, iCloud Private Relay rimane un ottimo strumento per la privacy quotidiana, ma non è infallibile. Comprendere i suoi limiti è il primo passo per usarlo in modo consapevole e proteggere davvero i tuoi dati personali online.

L'articolo iCloud Private Relay e la falla di sicurezza con perdite di IP proviene da sicurezza.net.