Una de las funciones estrella de pago de Apple tiene una brecha importante. El servicio iCloud Private Relay, incluido en las suscripciones de iCloud+, está filtrando las direcciones IP reales de los usuarios.
Los investigadores de seguridad Tommy Mysk y Talal Haj Bakry han demostrado que la supuesta capa de anonimato que ofrece Safari no siempre funciona. El problema surge al interactuar con webs que utilizan passkeys mediante el estándar WebAuthn.
El fallo en WebKit y las passkeys
El meollo de la cuestión está en cómo maneja el sistema operativo las credenciales. Cuando una página web solicita una passkey, WebKit delega la petición directamente en el servicio de credenciales del sistema.
Esa petición HTTPS sale directamente desde el dispositivo sin pasar por el proxy configurado. Al emitirse fuera de Safari, la solicitud esquiva por completo la ruta proxy de Private Relay.
El servidor de destino ve la dirección IP real del usuario de inmediato.
- No aparece ningún aviso en pantalla.
- Todo ocurre en segundo plano sin interacción real.
- Afecta también a navegadores de terceros por culpa de WebKit.
Los investigadores también detectaron que funciones como el DNS prefetching y WebTransport pueden revelar datos sensibles de red. Por ahora, Apple ha comunicado a 404 Media que ya está investigando el informe.
Si quieres comprobar si tu conexión es vulnerable, los propios investigadores han habilitado una web de pruebas. Mientras Cupertino mueve ficha, tirar de una VPN tradicional sigue siendo la opción más segura para navegar sin sobresaltos.