Se pagas pela subscrição iCloud+ e acreditas que o Private Relay mantém a tua navegação privada, tens aqui um problema. Dois investigadores de segurança, Tommy Mysk e Talal Haj Bakry, acabam de mostrar que a funcionalidade deixa escapar o teu endereço IP real e de uma forma que nem sequer depende de uma falha técnica particularmente sofisticada.
A descoberta, reportada pela 404 Media, revela uma brecha que afeta qualquer utilizador europeu (e mundial) que confie no iCloud Private Relay para proteger a sua identidade online enquanto navega no Safari.
Como é que o endereço IP fica exposto
O iCloud Private Relay foi desenhado para funcionar como um sistema de dois saltos: o tráfego do Safari passa por dois servidores intermédios, de forma que nem a Apple nem os sites que visitas conseguem ligar a tua identidade aos locais onde navegas. A teoria é boa, mas há um buraco.
Quando um site pede ao teu dispositivo para validar uma passkey as novas credenciais digitais que substituem palavras-passe , o serviço de credenciais do iPhone vai buscar o ficheiro de validação diretamente, sem passar pelo Safari. Isto significa que o pedido nunca toca no tráfego protegido pelo Private Relay. O site que recebe esse pedido vê o teu endereço IP verdadeiro, não o do servidor intermédio.
Mysk foi direto ao assunto ao explicar à 404 Media que qualquer site que suporte passkeys ou que simplesmente finja suportá-las pode aceder a esta informação, mesmo com o Private Relay ligado. Os investigadores frisaram ainda que, como o pedido vem sempre do IP real do dispositivo, não há forma de contornar o problema enquanto estiveres a usar Safari com Private Relay ativo.
Não é a primeira vez que isto acontece
Esta falha de privacidade não surge isolada. No mês passado, foi noticiado que a ferramenta Hide My Email da Apple outra funcionalidade paga do iCloud+ estava a expor silenciosamente os endereços de email verdadeiros dos utilizadores. Pior: a empresa aparentemente sabia do problema há mais de um ano antes de o corrigir.
Para quem paga por um serviço que promete privacidade, começa a acumular-se um padrão preocupante.
O que podes fazer enquanto a Apple não resolve isto
Há uma nota positiva nesta história: as VPN tradicionais não são afetadas por este problema. Ao contrário do Private Relay, que protege apenas o tráfego do navegador, uma VPN encripta toda a ligação do dispositivo ao nível do sistema. Isso significa que mesmo os pedidos de validação de passkeys passam pelo túnel encriptado.
Se usas o Private Relay para algo que consideras sensível navegação anónima, acesso a conteúdos restritos, ou simplesmente não queres que sites saibam onde estás , vale a pena mudar temporariamente para uma VPN completa até a Apple lançar uma correção.
A empresa já confirmou à 404 Media que está a investigar as conclusões dos investigadores, o que é um bom sinal. Resta saber quanto tempo vai demorar a surgir uma solução concreta.
Privacidade paga que não funciona como prometido
O iCloud Private Relay é uma funcionalidade exclusiva de quem paga iCloud+, e a promessa é clara: privacidade reforçada durante a navegação. Quando uma ferramenta dessas falha e quando a falha se repete em diferentes funcionalidades do mesmo serviço , a confiança começa a vacilar.
Para já, se dependes do Private Relay para manter o teu IP escondido, a recomendação é simples: usa uma VPN até a Apple tapar este buraco. E talvez seja altura de repensar quanto é que realmente vale a pena pagar por funcionalidades de privacidade que, afinal, não cumprem o que está no rótulo.
Via: Digital Trends
