Décidément, Apple aime bien contourner les VPN avec certaines de ses applications et services. C’est déjà une réalité avec iOS 16 et les versions antérieures, et ça l’est toujours avec iOS 17.

iOS 17 Logo

Les chercheurs en sécurité de Mysk ont fait une nouvelle analyse avec iOS 16.5.1, iOS 16.6 (qui a vu le jour hier) et iOS 17, pour arriver au constat que rien n’a changé : Apple s’octroie un droit qui lui permet de contourner un VPN activé par les utilisateurs lorsqu’il s’agit des connexions de certains de ses services.

Un VPN doit s’occuper de 100% du trafic Internet (sauf si l’utilisateur définit lui-même des règles pour autoriser ou non certains accès). Dans le cas d’iOS, le VPN gère 100% du trafic… en théorie. Sans que personne ne sache pourquoi, Apple contourne le système. Dans la vidéo de démonstration ci-dessous, on peut voir que le trafic d’Apple Push Notification, le service qui gère les notifications, contourne le VPN. De plus, l’application Plans communique avec les serveurs d’Apple sans passer par la connexion établie par le VPN. Elle envoie même des requêtes DNS non chiffrées à l’extérieur du tunnel.

Ce problème entre Apple et les VPN sur iPhone a été remarqué pour la première fois avec… iOS 13. Et comme nous pouvons le voir, il ne semble pas s’agir d’un bug à ce stade, mais d’un contournement volontaire de la part d’Apple, étant donné que plusieurs chercheurs ont déjà alerté la société à ce sujet et que c’est toujours d’actualité avec iOS 17.

Certes, iOS 17 est encore en bêta et la situation peut éventuellement changer d’ici la version finale. Mais le contournement étant une réalité depuis iOS 13, il semble peu probable qu’Apple va soudainement modifier ses pratiques.