iCloud Private Relay da Apple pode revelar IP dos utilizadores

O iCloud Private Relay da Apple, que promete proteger o IP dos utilizadores, pode revelá-lo de forma surpreendentemente fácil.

Investigadores de segurança descobriram que o iCloud Private Relay da Apple pode, em determinadas situações, expor o endereço IP real dos utilizadores. Este sistema foi criado como uma espécie de mini-rede Tor, que reencaminha as comunicações por dois nós intermédios, prometendo esconder o IP de forma segura durante a navegação na web. Mas para falhar, basta que um site utilize, ou simule que use, a autenticação via passkeys.

Segundo os investigadores, os pedidos relacionados com o WebAuthn são processados directamente pelo sistema operativo e não passam pelo mecanismo de protecção do Private Relay. Como resultado, um website pode obter o endereço IP verdadeiro do dispositivo sem apresentar qualquer pedido visível ao utilizador, comprometendo a privacidade que o serviço promete oferecer.

Re: Responsible Disclosure

We found ourselves in a bit of a dilemma with these DNS and IP leaks in WebKit and how to handle them responsibly.

We first became aware of a DNS leak in Psylo in late June 2026 after a user reported it. During our investigation, we found two… https://t.co/5kFu0jtUsJ

— Mysk 🇨🇦🇩🇪 (@mysk_co) August 5, 2026

A investigação identificou ainda outras duas funcionalidades do WebKit que podem revelar informações sensíveis. O DNS Prefetching, introduzido no iOS 26, pode expor os servidores DNS utilizados pelo dispositivo, enquanto o WebTransport, disponível desde o iOS 26.4, também poderá revelar o endereço IP real em determinados cenários. O problema torna-se mais grave uma vez que a Apple obriga todos os browsers iOS a usarem internamente o motor WebKit do sistema, pelo que estas falhas se aplicam automaticamente a todos os browsers utilizados nos iPhones e iPads.

Curiosamente, e uma vez que estes investigadores já tiveram múltiplos problemas a nível da comunicação (e reconhecimento) de vulnerabilidades com a Apple, não foi um processo fácil saber se deveriam tentar os canais oficiais ou fazer a divulgação pública - ainda mais sabendo que, noutros casos - como o da falha no Hide My Email - a Apple demorou mais de um ano a resolver problemas. Mas, desta vez, a Apple parece ter estado mais receptiva e já confirmou que está a analisar o problema e que deverá corrigi-lo antes do final do ano. Até que isso aconteça, os investigadores recomendam a utilização de uma VPN para quem pretende ocultar totalmente o seu endereço IP durante a navegação, com a ressalva de que também as VPNs no iOS sofrem de uma falha, que faz com que os IPs reais possam ser expostos enquanto a app de VPN está a ser actualizada.