Deux chercheurs en sécurité ont publié hier trois fuites dans WebKit, le moteur qui équipe Safari et la quasi-totalité des navigateurs iOS. Chacune contourne le proxy configuré et laisse filer l'adresse IP réelle ou les requêtes DNS. iCloud Private Relay est concerné, les VPN ne le sont pas.
Le préchargement DNS fait le plus de dégâts
Talal Haj Bakry et Tommy Mysk décrivent d'abord la balise dns-prefetch, qui sert normalement à gagner quelques millisecondes en résolvant à l'avance les noms de domaine d'une page. Sur iOS, le système la traite en dehors du proxy, par le chemin DNS habituel de l'appareil. Un site peut donc fabriquer un nom d'hôte différent pour chaque visiteur, puis regarder tranquillement d'où arrive la requête. Safari sur Mac gère cette balise depuis des années, mais iOS l'ignorait jusqu'à iOS 26, sorti en septembre dernier.
Les deux autres sortent complètement du navigateur
La deuxième fuite passe par WebAuthn, la brique qui gère les passkeys. Quand un site demande une authentification, WebKit confie au service d'identifiants du système le soin d'aller chercher un fichier de vérification sur le serveur, et cette requête part directement de l'appareil, sans passer par la pile réseau du navigateur ni par le proxy. Elle traîne là depuis iOS 18. La troisième concerne WebTransport, arrivé avec iOS 26.4 en mars, où un simple appel ouvre une connexion directe et emporte l'adresse IP avec elle.
Private Relay tombe dans le même trou
Les trois fuites sont dans WebKit, donc elles touchent tout ce qui repose dessus. Les navigateurs à proxy et les portages de Tor sur iPhone encaissent, et le service iCloud Private Relay facturé avec iCloud+ aussi. Les VPN, eux, s'en sortent, puisqu'ils chiffrent tout le trafic au niveau du système et pas seulement celui du navigateur. Les chercheurs ont ouvert cinq tickets chez WebKit et prévenu le projet Tor. Apple n'a rien dit publiquement pour l'instant, et aucun identifiant de faille n'a été attribué.
On en dit quoi ?
Difficile de ne pas remarquer le décalage entre la promesse et le résultat. Private Relay est vendu comme une protection contre le pistage, et il laisse filer par trois canaux exactement ce qu'il est censé masquer. Rien de tout ça ne relève de l'exploit spectaculaire, il s'agit de fonctions web parfaitement documentées qui ont simplement été branchées à côté du proxy. Le correctif existe déjà chez Psylo, le navigateur des deux chercheurs, qui bloque le préchargement DNS et désactive les deux autres fonctions par défaut. Il ne reste plus à Apple qu'à en faire autant dans WebKit.
