A Apple comercializa o iCloud Private Relay(nova janela) como uma forma de navegar na web sem expor seu endereço IP. No entanto, um novo relatório do 404 Media(nova janela) mostra que essa promessa foi quebrada.

Pesquisadores de segurança Tommy Mysk e Talal Haj Bakry(nova janela) descobriram as falhas subjacentes no WebKit, o motor de renderização por trás de cada navegador iOS, e criaram um site de verificação(nova janela) que permite a qualquer pessoa testar se seu dispositivo está exposto. O 404 Media realizou essa verificação e confirmou que o exploit funciona.

Como funciona o vazamento

Uma das falhas se concentra nas passkeys, o padrão de início de sessão destinado a substituir as senhas. Quando um site oferece suporte (ou apenas diz oferecer) a passkeys, seu dispositivo faz uma solicitação de credencial por meio do sistema operacional em vez do Safari. Essa solicitação pula inteiramente o proxy do Private Relay(nova janela), fazendo com que o site veja seu endereço IP real enquanto tudo na tela parece normal e protegido.

Como todos os navegadores iOS são executados no WebKit, o problema também afeta o OnionBrowser(nova janela), um aplicativo desenvolvido para rotear o tráfego pelo Tor (o Tor Browser(nova janela) oficial não é afetado).

A Apple diz que está investigando; o desenvolvedor do OnionBrowser disse ao 404 Media que a Apple chamou o problema de “grave”, sem previsão de correção(nova janela).

A segunda ferramenta de privacidade da Apple a falhar em dois meses

Em julho, o 404 Media relatou que o Hide My Email, o recurso de alias descartável da Apple, estava expondo os endereços reais dos usuários há mais de um ano(nova janela).

A Apple alegou ter corrigido o erro duas vezes antes de realmente lançar a correção. A falha: se uma mensagem para um alias oculto retornasse como spam, mesmo sendo legítima, o endereço real poderia vazar nos registros de e-mail do remetente, sem que o usuário soubesse.

É a segunda vez em dois meses que um recurso pago de privacidade do iCloud falha, em ambas as vezes descoberto por pesquisadores externos. Isso condiz com o que escrevemos sobre as alegações de privacidade do iPhone da Apple não se sustentarem sob análise.

O Private Relay não é um substituto para uma VPN

O Private Relay protege apenas o Safari, não seu dispositivo inteiro. Uma VPN dedicada criptografa todo o tráfego do dispositivo, de modo que seu IP real nunca chegue aos sites que você visita, e é por isso que uma VPN em que você confia continua sendo importante, mesmo com o Private Relay ativado. Os aplicativos do Proton VPN, por exemplo, são de código aberto e auditados de forma independente.

A mesma lógica se aplica ao e-mail. Se você quiser criar conta em algo sem informar seu endereço real, os aliases do hide-my-email do Proton Mail permitem que você faça exatamente isso.

Um recurso de privacidade é tão bom quanto a disposição da empresa em identificar e corrigir seus próprios erros. A Apple passou anos prometendo: “O que acontece no seu iPhone, fica no seu iPhone.”(nova janela)

No entanto, duas vezes em dois meses isso se provou falso.