Sur iOS et macOS, Tor, les systèmes de proxy et Safari partagent tous la même faiblesse : trois fonctions internes de WebKit peuvent révéler l’adresse IP réelle ou les requêtes DNS d’un utilisateur, même lorsqu’il croit naviguer à l’abri d’un proxy ou du relais privé iCloud. Cette vulnérabilité touche l’ensemble des navigateurs sur iPhone, puisqu’Apple impose à tous l’utilisation de son moteur de rendu WebKit, contrairement aux alternatives comme Blink ou Gecko utilisées sur d’autres plateformes.
Trois mécanismes de confort qui trahissent la confidentialité
Le développeur à l’origine de cette découverte, associé à l’application Psylo, a identifié le problème après qu’un utilisateur a signalé une fuite DNS suspecte. L’enquête qui a suivi a révélé non pas une, mais trois vulnérabilités distinctes, chacune capable de contourner la protection censée être apportée par un proxy ou le relais privé iCloud.
Le blog Mysk détaille comment chacune de ces trois fonctions en lien avec WebKit, pourtant conçues pour améliorer la rapidité ou la facilité de navigation, finit par nuire à la sécurité de l’utilisateur :
- Le préchargement des DNS, une fonctionnalité qui fait l’objet de fuite de données depuis iOS 26, résout les noms d’hôtes via le circuit classique des DNS plutôt que par le proxy configuré, révélant ainsi les sites visités.
- WebAuthn, utilisé pour la validation des clés d’accès (passkeys) depuis iOS 18, récupère un fichier de vérification directement depuis l’appareil, ce qui expose l’adresse IP réelle de l’utilisateur.
- WebTransport, actif depuis iOS 26.4, ouvre quant à lui une connexion HTTP/3 directe qui contourne également le proxy et révèle la véritable adresse IP.
Apple doit corriger ces failles de WebKit
Seule exception notable à ces trois fuites : le niveau de sécurité « Silver » du navigateur Onion Browser qui configure WebKit pour fonctionner en mode Isolement, échappant ainsi spécifiquement à la fuite liée à WebTransport. Les VPN, contrairement aux systèmes de proxy et à Tor, restent totalement épargnés par ce problème puisqu’ils chiffrent l’ensemble du trafic au niveau système plutôt qu’au niveau du navigateur.
L’application Psylo a corrigé les trois vulnérabilités dans sa dernière mise à jour, au prix de la désactivation de fonctionnalités par ailleurs utiles, désormais gérables site par site au sein de l’application. Apple, en revanche, n’a pas encore publié de correctif pour ces trois failles au niveau de WebKit lui-même, même si la publication de cette découverte pourrait accélérer une réponse de l’entreprise. En attendant, les utilisateurs avec un proxy ou passant par Tor sur iOS et macOS doivent garder à l’esprit qu’un VPN reste la seule solution garantissant qu’aucune donnée ne sorte de l’appareil sans chiffrement complet.
Dure réalité des mensonges Apple..bienvenue dans le monde réel…