Cette fonction payante d’Apple censée masquer votre adresse IP la laisserait fuiter

Le Relais privé iCloud sert d’argument à Apple pour vendre son abonnement iCloud+. Deux chercheurs en sécurité affirment pourtant que la protection comporte un angle mort sérieux. Certains sites parviendraient à récupérer l’adresse IP réelle sans que rien ne le laisse deviner.

Le mot de passe traditionnel recule face aux clés d’accès sur les grands services en ligne. Cette technologie repose sur une paire de clés stockée dans l’appareil. Une empreinte ou un code suffit alors pour valider la connexion. Sa réputation de solidité vient pourtant d’être écornée, puisque des chercheurs ont démontré trois attaques contre les passkeys du Gestionnaire de mots de passe Google. Les dispositifs censés protéger la vie privée révèlent régulièrement des angles morts inattendus.

Apple met en avant depuis 2021 un service capable de masquer l’adresse IP pendant la navigation. Le Relais privé iCloud est réservé aux abonnés payants. Il fait transiter le trafic de Safari par deux serveurs successifs. Aucun des deux ne connaît à la fois l’internaute et le site visité. La firme californienne multiplie les garde-fous de ce genre, et iOS 26.3 a introduit une option qui limite la position exacte transmise aux réseaux mobiles.

Le Relais privé iCloud laisserait passer les requêtes liées aux clés d’accès

Le Relais privé iCloud comporterait une faille repérée par les chercheurs en sécurité Tommy Mysk et Talal Haj Bakry. Quand un site demande une clé d’accès, ou fait seulement mine d’en proposer une, la requête ne suit pas le chemin habituel de Safari. Le service d’identification intégré au système la traite directement. Or la protection d’Apple ne couvre que le trafic passant par le navigateur. Le site consulté récupérerait donc l’adresse IP réelle. L’utilisateur ne remarquerait rien, la séquence ressemblant à une connexion ordinaire. Les essais menés par le duo confirment la fuite sur un iPhone correctement configuré.

Le problème dépasserait le seul cas de Safari, puisque Apple impose son moteur WebKit à tous les navigateurs sur iPhone. Les applications les plus soucieuses de la vie privée seraient touchées de la même façon, y compris celles qui passent par le réseau Tor. Les VPN classiques resteraient efficaces, car ils chiffrent le trafic au niveau du système. La firme de Cupertino a reconnu avoir reçu le signalement et indique enquêter. Aucun correctif ni calendrier n’a été communiqué pour le moment. La découverte suit de peu un autre raté sur une fonction de confidentialité vendue par la marque.