Si pagas por iCloud+ y confías en Private Relay para ocultar tu dirección IP mientras navegas, quizá deberías prestar atención a este. Una nueva investigación de los investigadores de seguridad Tommy Mysk y Talal Haj Bakry, informada por primera vez por 404 Media, revela que Private Relay no oculta tu dirección IP tan bien como afirma Apple.
¿Cómo ocurre realmente la fuga?
Private Relay se supone que debe enrutar tu tráfico Safari a través de un relé de dos saltos para que nadie, ni siquiera Apple, pueda conectar tu identidad con los sitios que visitas. El problema está en cómo funcionan las llaves de acceso. Cuando una web pide a tu dispositivo que verifique una clave, el servicio de credenciales de tu iPhone recupera directamente el archivo de validación, saltándose Safari y Private Relay. Como la solicitud nunca toca el tráfico protegido de tu navegador, la web que la recibe ve tu dirección IP real en lugar de la del relé.
Mysk explicó claramente la magnitud del problema, diciendo a 404 Media que “cualquier sitio web que soporte o pretenda soportar las claves de acceso” puede acceder a esta información, incluso con Private Relay activado. Los investigadores también señalaron en su propia publicación de investigación que, dado que el fetch proviene de la “dirección IP real del dispositivo de cualquier forma”, actualmente no hay forma de evitarlo mientras se usa Safari con Private Relay activado.
¿Deberías preocuparte?
Tampoco es el primer problema de privacidad para las funciones de pago de iCloud + de Apple. El mes pasado se informó de que la herramienta Ocultar mi correo electrónico de Apple estaba exponiendo discretamente las direcciones reales de los usuarios, un fallo que la empresa supuestamente conocía desde hacía más de un año antes de solucionarlo.
La parte positiva aquí es que las VPN normales no se ven afectadas, ya que cifran todo el tráfico de tu dispositivo a nivel de sistema en lugar de solo en tu navegador. Si usas Private Relay para algo sensible, podría valer la pena cambiar a una VPN completa hasta que Apple solucione esto. Apple ha dicho a 404 Media que está investigando los hallazgos de los investigadores, así que esperamos que una solución no esté muy lejos.
