A funcionalidade Private Relay, concebida para ocultar o endereço IP de quem navega na internet através do Safari, apresenta uma falha no motor WebKit que impede o seu funcionamento correto. Segundo explicou a 404 Media, os investigadores de segurança Talal Haj Bakry e Tommy Mysk detetaram que o lapso ocorre frequentemente com a utilização de passkeys, um método seguro de início de sessão sem palavra-passe.
Quando um utilizador recorre a uma passkey para a autenticação, o dispositivo executa o pedido fora do próprio navegador. Sendo o Private Relay um recurso do iCloud+ restrito ao Safari, este sistema não protege a identidade do utilizador em todo o equipamento como uma verdadeira VPN faria. O ato de aceder a um site ou serviço com este método no Safari pode, por isso, vazar o IP da ligação.
O impacto noutros navegadores móveis
A possibilidade de exposição dos dados de rede estende-se além do Safari. O problema reside no motor WebKit, utilizado por todos os navegadores no sistema operativo móvel iOS. Isto significa que o endereço IP pode também tornar-se visível se o utilizador empregar passkeys em aplicações orientadas para a privacidade e o anonimato, como o OnionBrowser ou o Psylo, um navegador criado pela própria dupla de investigadores.
Através de uma publicação no X, os especialistas revelaram que já contactaram o OnionBrowser e o Tor Project, responsável por fornecer a rede de anonimato utilizada pelo navegador, para partilhar as conclusões e apresentar potenciais soluções.
Um histórico de atualizações lentas
A Apple informou estar a investigar o relatório submetido pelos especialistas, mas os investigadores alertaram na mesma publicação que poderá passar muito tempo até que a empresa resolva definitivamente a situação.
Para sustentar a afirmação, a equipa mencionou a falha na funcionalidade Ocultar o Meu E-mail do iCloud, descoberta por um grupo de pesquisa diferente em meados de 2025. A correção que impediu a fuga dos endereços de correio eletrónico reais escondidos por trás dos pseudónimos demorou um ano a ser lançada de forma oficial.
(TT)