Des chercheurs en sécurité, Tommy Mysk et Talal Haj Bakry, indiquent que iCloud Private Relay, la fonction payante de protection de Safari intégrée aux offres iCloud+, peut exposer l’adresse IP réelle des utilisateurs à des sites web qui utilisent — ou prétendent utiliser — des passkeys.
iCloud Private Relay est censé masquer l’IP et les informations DNS lors de la navigation avec Safari, mais ce n’est pas un VPN et il ne masque pas tout le trafic d’un appareil. Les passkeys reposent sur la norme WebAuthn : la clé privée est stockée sur l’appareil, pas dans le navigateur Safari. La requête que le système envoie au site web n’est donc pas protégée par Private Relay et peut divulguer l’adresse IP.
Pourquoi iCloud Private Relay expose parfois l’IP
WebKit délègue les cérémonies WebAuthn au service d’identifiants du système d’exploitation, qui émet lui-même la requête HTTPS directement depuis l’appareil et sans tenir compte d’un proxy éventuellement configuré par l’application hôte. Une page peut définir rpId sur l’hôte de son choix, et la requête (fetch) est lancée même sans interaction utilisateur lorsqu’elle utilise mediation: “conditional”, sans qu’aucune interface ne s’affiche. Parce que cette requête est émise par le service d’identifiants du système et non par Safari, elle n’emprunte jamais le chemin proxifié de Private Relay. Le serveur destinataire voit dans tous les cas l’adresse IP réelle de l’appareil.
Un attaquant souhaitant découvrir l’IP protégée d’un internaute peut donc créer un site exploitant WebAuthn : il n’y a pas d’invite visible liée à la passkey et aucune indication que l’adresse IP a été consultée en arrière-plan.
Autres fuites identifiées et solutions temporaires
Les chercheurs ont également repéré deux autres mécanismes de WebKit pouvant révéler des données réseau : le préchargement DNS (DNS prefetching), introduit dans iOS 26, qui révèle les serveurs DNS réels de l’utilisateur, et WebTransport, ajouté dans iOS 26.4, qui peut divulguer une adresse IP. Mysk et Haj Bakry ont mis en ligne un site permettant de tester si le service d’Apple fuite votre adresse IP.
Comme le problème est lié au fonctionnement de WebKit, certains navigateurs tiers sont également concernés. Apple a indiqué qu’elle enquêtait sur ce signalement. Les chercheurs estiment qu’Apple devra corriger le dysfonctionnement ; en attendant, les utilisateurs peuvent recourir à un VPN pour bénéficier d’une protection plus large.
