iCloud Private Relay, la funzione inclusa negli abbonamenti a pagamento iCloud+ che dovrebbe mascherare l'indirizzo IP di chi naviga con Safari, in diversi casi lo lascia uscire in chiaro. Basta che un sito supporti le passkey, o si limiti a fingere di supportarle, per ottenere l'indirizzo reale del visitatore, senza che compaia alcuna richiesta di conferma e senza che l'utente debba fare nulla.
La ricostruzione � di Tommy Mysk e Talal Haj Bakry, che hanno individuato tre funzioni del motore WebKit capaci di scavalcare il proxy impostato dall'applicazione: DNS prefetching, le Related Origin Requests di WebAuthn e WebTransport. I due hanno pubblicato anche un sito di prova che mostra all'utente l'indirizzo effettivamente visibile dall'esterno: il test restituisce l'IP reale anche con Private Relay attivo.
Le tre funzioni che escono dal proxy
Introdotta con iOS 17 e macOS 14, l'API WKWebsiteDataStore.proxyConfigurations permette a un browser basato su WebKit di instradare attraverso un proxy tutto il traffico web che genera. � la base su cui poggiano i browser proxy per iOS: ogni connessione aperta da una pagina dovrebbe passare di l�, cos� che i siti vedano soltanto l'indirizzo del proxy. Le tre funzioni individuate dai ricercatori si collocano invece fuori dal normale percorso di caricamento della pagina, e per questo aggirano sia quell'API sia il doppio inoltro di Private Relay.
