Le Relais privé iCloud, l'outil d'Apple censé masquer votre adresse IP, peut parfois la dévoiler
Des chercheurs ont trouvé une faille dans la fonction "Relais privé iCloud", censée masquer l'adresse IP de l'utilisateur. Dans certaines conditions, elle peut en réalité la révéler au site consulté.
Décidément, Apple rencontre bien des problèmes au niveau sécurité et confidentialité, qui sont pourtant les principaux arguments marketing pour vendre son écosystème ! Après qu'une importante faille de sécurité a été détectée début juillet dans son outil d'alias de mail, "Masquer mon adresse e-mail", l'entreprise est de nouveau épinglée pour une autre brèche, cette fois dans la fonction "Relais privé iCloud".
Lancé en 2021 avec l'offre payante iCloud+, le Relais privé iCloud est un outil destiné à renforcer la confidentialité des utilisateurs lorsqu'ils naviguent sur Internet avec Safari. Son principe repose sur un fonctionnement proche de celui d'un VPN, même si Apple précise bien qu'il ne s'agit pas d'un réseau privé virtuel classique. Le trafic est envoyé à travers deux relais distincts : le premier, géré par Apple, connaît l'adresse IP de l'utilisateur mais pas les sites consultés ; le second, exploité par un partenaire, connaît le site demandé mais ne dispose pas de l'adresse IP réelle de l'internaute. L'objectif est qu'aucun acteur ne puisse relier une personne à son activité en ligne.
Les chercheurs Tommy Mysk et Talal Haj Bakry ont pourtant découvert que cette protection pouvait toutefois être contournée dans certaines situations à cause d'un problème lié à WebKit, le moteur de navigation utilisé par Safari et par les autres navigateurs disponibles sur iPhone, comme le rapporte 404 Media.
Relai privé iCloud : une protection qui ne tient pas sa promesse
La faille concerne la manière dont le système gère les passkeys, des clés d'accès destinées à remplacer les mots de passe. À la différence d'un VPN classique, qui crée un tunnel sécurisé pour faire transiter l'ensemble des connexions de l'appareil, le Relais privé iCloud fonctionne de manière plus limitée. Il protège principalement la navigation sur Internet effectuée avec Safari en masquant l'adresse IP de l'utilisateur. En revanche, certaines requêtes lancées directement par le système d'exploitation ou par d'autres services peuvent ne pas passer par ce circuit de protection. C'est justement ce qui se produit lorsqu'un site utilise une passkey : la demande d'authentification est envoyée par un service interne d'iOS et non par Safari, ce qui permet à la requête de contourner le Relais privé iCloud. Résultat : elle sort alors du tunnel de protection et transmet l'adresse IP réelle de l'utilisateur au site visité.
Safari n'est pas le seul navigateur touché par ce problème. Etant donné qu'Apple impose à tous les navigateurs tiers tournant sur iOS l'utilisation de son moteur de rendu Webkit, ces derniers pourraient également être concernés, même si les chercheurs n'ont pas indiqué que tous étaient affectés dans les mêmes conditions. C'est en tout cas le cas d'Onion Browser, un navigateur Web basé sur le réseau Tor pour protéger l'identité en ligne de l'internaute.
Pire encore, le problème ne concerne pas uniquement les clés d'accès. Les chercheurs en cybersécurité ont également identifié deux autres fuites du même acabit dans WebKit. Le premier concerne le préchargement DNS, une fonction apparue avec iOS 26 qui permet d'accélérer l'ouverture des sites, mais qui peut dans ces mêmes conditions révéler les serveurs DNS réellement utilisés par l'appareil. Le second concerne WebTransport, ajouté avec iOS 26.4, qui peut lui aussi exposer l'adresse IP véritable de l'utilisateur. Et, l'implémentation logicielle relative aux clés d'accès étant entièrement dans les mains d'Apple, les développeurs tiers ne peuvent absolument rien faire pour régler directement ce problème.
La firme de Cupertino a indiqué avoir reçu le signalement et avoir ouvert une enquête. Aucun correctif ni calendrier n'a été communiqué pour le moment. Reste que cette découverte remet en cause la promesse centrale du Relais privé iCloud. Le problème est d'autant plus sensible qu'Apple met régulièrement en avant la confidentialité comme un argument majeur de ses appareils et services. Le Relais privé iCloud est inclus dans les abonnements iCloud+, payants, et constitue l'une des fonctions phares de la marque lui permettant de se démarquer au niveau de la protection des données personnelles.