Le service « iCloud Private Relay » d'Apple divulgue les adresses IP réelles des utilisateurs : la fonctionnalité peut être contournée via une requête Passkey WebAuthn
Des chercheurs ont découvert que la fonctionnalité « iCloud Private Relay » d’Apple, une fonctionnalité d’iCloud+ conçue pour masquer les adresses IP des utilisateurs lorsqu’ils naviguent dans Safari, peut être contournée via une requête Passkey WebAuthn, exposant potentiellement l’adresse IP réelle de l’utilisateur. Les chercheurs Talal Haj Bakry et Tommy Mysk ont identifié trois fonctionnalités de WebKit à l’origine de cette fuite, ce qui signifie que certains navigateurs tiers et basés sur Tor utilisant le relais proxy de WebKit pourraient également être concernés.
iCloud est un service cloud personnel géré par Apple. Lancé le 12 octobre 2011, iCloud permet aux utilisateurs de stocker et de synchroniser des données entre leurs appareils, notamment Apple Mail, Apple Calendar, Apple Photos, Apple Notes, leurs contacts, leurs réglages, leurs sauvegardes et leurs fichiers, de collaborer avec d'autres utilisateurs et de localiser leurs appareils grâce à Find My. L'application client iCloud est intégrée à iOS, iPadOS, watchOS, tvOS, macOS et visionOS, et est disponible pour Microsoft Windows. Il est également possible d’accéder à iCloud via une interface web limitée.
iCloud offre aux utilisateurs 5 Go de stockage gratuit, qui peut être étendu jusqu’à 12 To grâce à des forfaits payants optionnels ; tous les forfaits payants incluent iCloud+ qui offre des fonctionnalités supplémentaires. Un chiffrement de bout en bout optionnel est disponible depuis 2022 pour toutes les données iCloud, à l'exception du Calendrier, des Contacts et de Mail, qui s'appuient sur des technologies de synchronisation héritées pour assurer la compatibilité avec les applications tierces (CalDAV, CardDAV, IMAP). En 2018, le service comptait environ 850 millions d'utilisateurs, contre 782 millions en 2016.
Récemment, des chercheurs ont découvert que la fonctionnalité « iCloud Private Relay » d’Apple, une fonctionnalité d’iCloud+ conçue pour masquer les adresses IP des utilisateurs lorsqu’ils naviguent dans Safari, peut être contournée via une requête Passkey WebAuthn, exposant potentiellement l’adresse IP réelle de l’utilisateur.
Ce problème survient car les requêtes d’identifiants Passkey s’effectuent en dehors de la connexion de navigation standard de Safari ; leur trafic réseau n’est donc pas acheminé via Private Relay. Un site web peut lancer l’une de ces requêtes et utiliser la connexion ainsi établie pour identifier la véritable adresse IP du visiteur, même si celui-ci navigue sur Safari avec la fonctionnalité de confidentialité activée.
Les chercheurs Talal Haj Bakry et Tommy Mysk ont identifié trois fonctionnalités de WebKit à l’origine de cette fuite, ce qui signifie que certains navigateurs tiers et basés sur Tor utilisant le relais proxy de WebKit pourraient également être concernés. Ils n’ont pas signalé le problème en privé à Apple, invoquant des retards antérieurs et des désaccords concernant l’impact des vulnérabilités signalées, mais ont publié un site web de démonstration permettant aux utilisateurs de vérifier si Private Relay expose leur véritable adresse IP.
Il convient également de mentionner que Mysk et ses collègues développent également Psylo, un navigateur axé sur la confidentialité qui intègre désormais des mesures de protection contre ce type de fuite. Apple n’a pas commenté cette affaire ni fourni de calendrier pour un correctif, mais cela fait suite à une autre faille de confidentialité liée à iCloud révélée le mois dernier, lorsque des chercheurs ont découvert que la fonctionnalité « Masquer mon e-mail » pouvait en réalité exposer les véritables adresses e-mail des utilisateurs.
Voici le résumé du rapport :
Fuites d'adresse IP et de DNS dans WebKit affectant les navigateurs utilisant un proxy et le service « Private Relay » d'iCloud d'Apple
Les navigateurs basés sur WebKit sous iOS et macOS peuvent être configurés pour acheminer tout le trafic Web via des serveurs proxy. C’est ainsi que fonctionnent tous les navigateurs proxy sous iOS, y compris les navigateurs Tor pour iOS et notre propre navigateur, Psylo. Chaque connexion réseau établie par une page Web est censée passer par le proxy configuré, de sorte que les sites Web ne voient jamais que l’adresse IP du proxy. Nous avons identifié trois fonctionnalités de WebKit qui contournent la configuration du proxy et envoient le trafic directement depuis l’appareil :
- La prélecture DNS résout les noms d’hôte via le chemin DNS normal de l’appareil, ce qui révèle les véritables serveurs DNS de l’utilisateur au lieu de ceux du proxy. Disponible depuis iOS 26.0.
- Les requêtes d’origine liées à WebAuthn (WebAuthn Related Origin Requests) font en sorte que le service de gestion des identifiants du système d’exploitation récupère un fichier de validation directement depuis l’appareil. Cela expose la véritable adresse IP de l’appareil. Disponible depuis iOS 18.0.
- WebTransport ouvre une connexion HTTP/3 directe et contourne le proxy, ce qui expose également l’adresse IP réelle de l’appareil. Disponible depuis iOS 26.4.
Ces fuites affectent également le service iCloud Private Relay d’Apple. Il convient de noter que les VPN ne sont pas concernés, car ils acheminent l’intégralité du trafic réseau de l’appareil via un tunnel au niveau du système.
Nous avons contacté le projet Tor et les développeurs d’Onion Browser sur iOS au sujet de ces problèmes.
Pour tester ces fuites, vous pouvez vous rendre sur notre site web de démonstration à l’adresse leaks.psylo.app.
Corrigé dans Psylo 1.3.1 : Psylo bloque désormais les indications « dns-prefetch » et désactive WebTransport et WebAuthn par défaut. Pour les sites web qui ont réellement besoin de ces fonctionnalités, chacune peut être réactivée via des boutons de basculement par silo. Cette activation explicite laisse à l’utilisateur le soin de gérer les compromis en matière de confidentialité. Voir « Mesures d’atténuation introduites dans Psylo 1.3.1 » pour plus de détails.
Source : Rapport concernant l'iCLoud
Et vous ?
Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?
Voir aussi :
Tor est-il toujours sûr à utiliser ? Une réponse après la désanonymisation d'un service "Onion" utilisé par un utilisateur de Tor avec une version de l'application Ricochet et ciblé par une attaque
Le partage de fichiers via iCloud d'Apple a permis à d'anciens employés d'accéder à des documents confidentiels mis à jour. Les fichiers professionnels étant mélangés avec les comptes iCloud personnels
Vous avez lu gratuitement 48 articles depuis plus d'un an.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.