Avec iCloud+, Apple propose le Relais privé iCloud, une fonction destinée notamment à masquer votre adresse IP lorsque vous naviguez avec Safari. Les sites que vous consultez ne sont donc normalement pas censés connaître directement l'adresse IP associée à votre connexion.
Mais cette protection n'est pas totalement étanche comme le rappelle Proton. Les chercheurs Talal Haj Bakry et Tommy Mysk ont identifié trois mécanismes de WebKit capables, dans certaines situations, de faire passer une communication en dehors du circuit protégé par le Relais privé.
Une requête liée aux passkeys peut révéler votre vraie IP
Le scénario le plus étonnant concerne WebAuthn, une technologie notamment utilisée pour les passkeys, ces clés d'accès qui permettent de se connecter sans mot de passe.
Certaines requêtes WebAuthn peuvent être prises en charge directement par un composant d'iOS plutôt que par Safari. Elles risquent alors de communiquer avec un serveur sans emprunter le Relais privé.
Conséquence : le serveur peut voir l'adresse IP publique réelle de l'iPhone, alors que celle-ci était censée être masquée.
Plus gênant encore, l'utilisateur n'a pas forcément besoin de se connecter ou de valider une passkey. Dans certains scénarios, la requête peut être déclenchée en arrière-plan sans qu'une fenêtre d'authentification particulièrement visible apparaisse à l'écran.
Les chercheurs ont trouvé trois façons de contourner la protection
WebAuthn n'est pas le seul mécanisme concerné. Les chercheurs ont identifié trois fonctions susceptibles d'échapper aux proxys utilisés par certaines applications :
- WebAuthn : certaines requêtes liées notamment aux passkeys peuvent être prises en charge directement par iOS et révéler l'adresse IP réelle.
- Le préchargement DNS : certaines résolutions de noms de domaine peuvent emprunter le chemin DNS habituel de l'appareil au lieu de passer par le proxy.
- WebTransport : certaines connexions utilisant HTTP/3 et QUIC peuvent être établies directement depuis l'appareil et contourner la protection.
Les conséquences varient selon le scénario. Certaines communications peuvent révéler directement l'adresse IP, tandis que d'autres exposent surtout des informations liées aux serveurs DNS utilisés.
Dans tous les cas, le problème est similaire : une partie du trafic peut emprunter un autre chemin que celui protégé par le Relais privé. La fonction reste donc activée sur l'iPhone, mais certaines communications peuvent malgré tout lui échapper.
Le Relais privé iCloud n'est pas un VPN
C'est aussi ce que rappelle cette découverte : le Relais privé iCloud n'est pas un VPN.
Le service d'Apple protège notamment la navigation effectuée avec Safari grâce à une architecture de relais qui masque l'adresse IP. Un VPN installé au niveau du système fonctionne différemment : il crée un tunnel qui prend en charge beaucoup plus largement les connexions Internet de l'appareil.
Une communication qui échappe à Safari peut donc aussi contourner le Relais privé, alors qu'elle continuera normalement à passer par le tunnel d'un VPN système.
C'est pourquoi les trois méthodes découvertes par les chercheurs ne permettent pas de contourner un VPN de la même manière.
Cela ne signifie pas pour autant qu'un VPN est infaillible. Un bug, une mauvaise configuration ou un autre type de vulnérabilité peut toujours provoquer une fuite d'adresse IP. Mais face au problème précis découvert ici, son champ de protection est plus large.
Si vous souhaitez justement mieux comprendre cette différence et comparer les solutions disponibles, DegroupTest propose un comparatif des meilleurs VPN du moment, avec leurs caractéristiques et leurs tarifs.
Faut-il désactiver le Relais privé sur son iPhone ?
Non. Cette découverte ne signifie pas que votre véritable adresse IP est révélée à chaque site que vous visitez. Pour contourner la protection, un site doit exploiter l'un des mécanismes identifiés par les chercheurs.
Le Relais privé conserve donc son intérêt pour limiter le suivi pendant la navigation avec Safari. Cette affaire montre surtout ses limites et rappelle une distinction essentielle : masquer son adresse IP dans Safari n'est pas la même chose que protéger l'ensemble des connexions Internet de son iPhone avec un VPN.
Et même avec un VPN, masquer son adresse IP ne suffit pas à rendre toute activité invisible : cookies, comptes connectés et empreinte du navigateur peuvent continuer à servir au suivi. Nous l'expliquions récemment dans notre article consacré à ce que Google peut encore voir lorsque vous utilisez un VPN.
