iCloud Private Relay laisse fuiter l’adresse IP réelle des utilisateurs

La fonctionnalité de protection d’Apple, iCloud Private Relay, ne masque pas toujours l’adresse IP comme promis. Deux chercheurs en sécurité, Tommy Mysk et Talal Haj Bakry, ont découvert une faille liée à l’utilisation (ou à la simple simulation) des passkeys.

C'est quoi cette fuite sur iCloud ?

iCloud Private Relay, inclus dans les forfaits iCloud+ payants, est censé masquer l’adresse IP et les informations DNS lors de la navigation dans Safari. Ce n’est toutefois pas un VPN complet : il ne protège pas tout le trafic de l’appareil.

Le problème vient des passkeys, qui s’appuient sur le standard WebAuthn. La clé privée est stockée au niveau du système, et non dans Safari. Lorsqu’une page web déclenche une cérémonie WebAuthn, c’est le service d’identifiants d’iOS (ou de macOS) qui envoie la requête HTTPS… directement depuis l’appareil, sans passer par le proxy de Private Relay.

Résultat, le serveur distant peut voir l’adresse IP réelle de l’utilisateur. Une page peut même forcer cette requête en arrière-plan, sans afficher de fenêtre de passkey ni demander d’interaction.

D’autres fuites identifiées

Les chercheurs ont également repéré deux autres mécanismes de WebKit susceptibles de révéler des données :

• Le DNS prefetching (ajouté dans iOS 26) peut exposer les serveurs DNS réels
• WebTransport (introduit dans iOS 26.4) peut laisser fuiter l’adresse IP

Que faire en attendant ?

Apple a indiqué à 404 Media qu’elle examinait le rapport des chercheurs. En attendant un correctif, les utilisateurs les plus soucieux de leur vie privée peuvent se tourner vers un VPN classique pour une protection plus complète.

Les deux compères ont mis en ligne un site (lien sur leur blog, cf plus haut) permettant de tester si Private Relay expose bien votre adresse IP. Comme le problème est lié au fonctionnement de WebKit, certains navigateurs tiers sont également concernés.

Cette découverte rappelle que Private Relay, bien que pratique, n’offre pas le même niveau d’anonymat qu’un VPN traditionnel comme NordVPN, ExpressVPN ou celui intégré à Intego One.

Utilisez-vous iCloud Private Relay ? Cette faille change-t-elle votre confiance dans la fonctionnalité ?