El 'Relay Privado' de Apple está exponiendo la IP real de los usuarios al navegar con sus dispositivos

'Relay Privado' de iCloud (iCloud Private Relay) es el servicio de privacidad de Apple encargado de ocultar la navegación web en Safari pero, según se ha descubierto, a veces no enmascara la dirección IP real del usuario.

Concretamente, los investigadores de seguridad Talal Haj Bakry y Tommy Mysk han identificado que la función que oculta la dirección IP del iPhone cuando se navega a través de Safari no siempre funciona correctamente debido a problemas con el motor del navegador web de Apple conocido como WebKit.

En el informe publicado en su web, los investigadores han compartido tres vulnerabilidades que consiguen que el tráfico de red evite la configuración del servidor proxy del navegador, lo que provoca filtraciones de la dirección IP real y de las consultas al Sistema de Nombres de Dominio (DNS) del dispositivo.

De los tres fallos encontrados, que afectan a la precarga del DNS, a las Passkeys y a WebTransport, el más relevante para el usuario tiene que ver con las Passkeys o llaves de acceso, que cada vez usan más personas como herramienta para proteger sus cuentas reemplazando las contraseñas tradicionales.

En este caso, el problema radica en que, en lugar de realizarse un intercambio o la autenticación criptográfica de estas llaves de acceso a través del proxy o de iCloud Private Relay, WebKit le pide al sistema operativo que gestione la solicitud directamente.

Esto provoca que el sistema la descargue usando la conexión normal, sin recurrir a iCloud Private Relay, lo que filtra la dirección IP real al servidor sin el conocimiento del usuario, ya que este no recibe ninguna notificación al respecto.

Además, este problema no solo afecta a Safari. "Puesto que las políticas de la App Store de Apple exigen que todos los navegadores de iOS utilicen WebKit, cualquier navegador de iOS que dependa de esta API para usar proxies se ve afectado, incluidos todos los navegadores Tor para iOS y Psylo", han matizado los investigadores en el informe.

Desde la cuenta oficial de Mysk en X (antes Twitter), se puede leer que ya han contactado con otros navegadores como Onion Browser y Tor Project para compartir los detalles y entablar soluciones para sus hallazgos.

Por su parte, según ha recogido el medio especializado 404Media, Apple ha aclarando que ya está investigando el informe de los investigadores.

No obstante, cabe destacar que a los de Cupertino les podría llevar bastante tiempo solucionar este problema, ya que los investigadores lo comparan con el problema de seguridad descubierto por otro equipo a mediados de 2025 respecto a la funcionalidad 'Hide My Email', que finalmente Apple resolvió el 3 de julio de este año, 13 meses después de ser identificada y comunicada.