La fonction Relais Privé fait parler d'elle ces derniers jours. Alors qu'elle est censé cacher votre véritable adresse IP pendant la navigation sur Safari, ces chercheurs en sécurité ont pourtant découvert une faille permettant de contourner cette protection en exploitant le fonctionnement des passkeys. Une vulnérabilité suffisamment embarrassante pour qu’Apple soit déjà visée aux États-Unis par une action collective l’accusant notamment d’avoir trompé les abonnés à iCloud+.
RELAIS PRIVÉ, COMMENT ÇA MARCHE ?
Disponible avec iCloud+, Relais Privé n’est pas vraiment un VPN, même si son objectif est assez proche sur un point : empêcher qu’un tiers puisse connaître à la fois l’identité de l’utilisateur et les sites qu’il consulte avec Safari. Le fonctionnement repose pour cela sur deux relais successifs.
Le premier, exploité par Apple, connaît l’adresse IP de l’utilisateur mais pas le site demandé, les informations DNS étant chiffrées. Le second relais est exploité par un fournisseur tiers. Il connaît le site auquel l’utilisateur souhaite accéder, mais reçoit uniquement les informations nécessaires pour lui attribuer une adresse IP temporaire.
En théorie, ni Apple, ni le fournisseur d’accès, ni le site visité ne disposent donc seuls de toutes les informations permettant de reconstituer la navigation. En théorie...
LES PASSKEYS PERMETTENT DE CONTOURNER LA PROTECTION
Le problème découvert par les chercheurs provient du fonctionnement des passkeys, ces clés d’accès qui permettent notamment de remplacer les traditionnels mots de passe. Lors de certaines opérations, l’appareil effectue une requête web en dehors de Safari. Celle-ci ne passe alors pas par Private Relay et peut transmettre directement la véritable adresse IP de l’utilisateur.
Plus problématique encore, un site n’aurait même pas besoin de proposer réellement une authentification par passkey. Selon les chercheurs, il suffirait de se comporter comme s’il prenait cette technologie en charge pour provoquer la requête et récupérer l’adresse IP réelle. Pour l’utilisateur, rien n’indique nécessairement que cette communication est sortie du circuit protégé de Relais Privé.
UNE ACTION COLLECTIVE CONTRE APPLE
La découverte n’aura pas mis longtemps à avoir des conséquences judiciaires. Clarkson Law Firm a déposé une proposition d’action collective contre Apple, accusant notamment l’entreprise de publicité mensongère, de présentation trompeuse et de fraude concernant les protections offertes par iCloud+. Le cabinet estime qu’Apple savait, ou aurait dû savoir, que les promesses entourant le service pouvaient être trompeuses si Relais Privé ne protégeait pas systématiquement l’adresse IP de ses utilisateurs.
L’argument est évidemment sensible pour Cupertino : la confidentialité constitue depuis des années l’un des principaux axes de communication d’Apple, et Relais Privé est intégré à une offre iCloud+ payante. Il faudra néanmoins attendre la suite de la procédure. Le dépôt d’une demande d’action collective ne signifie évidemment pas que les accusations formulées contre Apple ont été reconnues par un tribunal.
Qu’en penser ?
La faille est surtout gênante parce qu’elle touche précisément l’information que Relais Privé est censé masquer. Elle rappelle également que le système ne protège que certaines communications et ne constitue pas un VPN couvrant l’ensemble des connexions de l’iPhone ou du Mac.
La question sera maintenant de savoir comment Apple corrigera ce contournement et depuis combien de temps il peut être exploité. Quant à l’action collective, elle devra déterminer si cette faiblesse technique suffit réellement à considérer que les promesses faites aux abonnés iCloud+ étaient trompeuses.
