Utiliser un navigateur configuré avec un proxy, Tor ou iCloud Private Relay ne garantit pas que toutes les requêtes web empruntent la protection attendue. Selon Mysk, trois fonctions de WebKit peuvent transmettre des informations en dehors de ce chemin, notamment des données liées à l’adresse IP et au DNS, sur iOS comme sur macOS.
Trois fonctions WebKit mises en cause
L’enquête de Mysk a débuté après le signalement d’une fuite DNS par un utilisateur de Psylo, l’application développée par l’équipe. Les chercheurs ont ensuite identifié trois mécanismes distincts : le préchargement DNS, WebAuthn — utilisé notamment par les passkeys — et WebTransport. Ces technologies visent respectivement à accélérer l’accès aux sites ou à simplifier certaines interactions web, mais elles peuvent aussi faire sortir une partie des échanges du proxy utilisé par le navigateur.
Sur iPhone, tous les navigateurs doivent s’appuyer sur WebKit. Safari, les navigateurs reposant sur un proxy et les navigateurs Tor peuvent donc être concernés par ces comportements. Mysk met à disposition un site de démonstration permettant de vérifier les fuites observées.
Psylo désactive les fonctions concernées
Mysk indique avoir corrigé les trois fuites dans la dernière version de Psylo. Cette correction passe par la désactivation des fonctions concernées, avec une gestion à effectuer site par site dans l’application. Le compromis est concret : ces fonctions peuvent améliorer la rapidité ou la commodité de navigation, mais leur blocage renforce la cohérence du passage par le proxy.
Une exception est relevée pour Onion Browser : son niveau de sécurité « Silver » configure WebKit avec le mode Isolement. Dans cette configuration, la fuite liée à WebTransport ne se produit pas, d’après Mysk.
Ce que ça change
Pour les personnes qui utilisent un proxy ou Tor afin de limiter les informations visibles pendant leur navigation, cette découverte rappelle que le navigateur compte autant que le service de relais choisi. D’après Mysk, un VPN évite ce cas de figure car il chiffre le trafic à l’échelle du système, plutôt qu’au seul niveau du navigateur. Apple devra corriger ces comportements dans WebKit pour que les protections intégrées au navigateur ne puissent plus emprunter ces voies séparées.
À lire aussi
Source : Mysk — blog
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.