O iCloud Private Relay da Apple vaza o IP do usuário? Como o WebKit compromete a privacidade

O iCloud Private Relay da Apple vaza o IP do usuário? Essa preocupação com o design de privacidade foi documentada formalmente pelos pesquisadores de segurança Tommy Mysk e Talal Haj Bakry, demonstrando que a arquitetura do WebKit pode contornar os servidores proxy do Safari sob condições de rede específicas. À medida que as tecnologias de rastreamento digital se tornam cada vez mais invasivas, milhões de consumidores dependem de ferramentas de encaminhamento de e-mail e proxies de navegador para isolar suas credenciais reais de redes de rastreamento de terceiros. Em condições operacionais normais, esses proxies protegem os usuários contra o rastreamento de IP e a criação de perfis DNS, roteando solicitações da web através de servidores intermediários. No entanto, quando o motor WebKit subjacente permite que serviços nativos de credenciais iniciem solicitações HTTPS diretas fora do fluxo de proxy, o isolamento de rede pretendido falha.

Cronologia e Evolução dos Vazamentos no iCloud Private Relay da Apple

Em resumo

• Os pesquisadores de segurança Tommy Mysk e Talal Haj Bakry revelaram que o WebKit contorna o Private Relay ao processar solicitações de passkeys via WebAuthn, expondo endereços IP dos dispositivos.
• Recursos adicionais do WebKit, incluindo o pré-carregamento de DNS do iOS 26 e protocolos WebTransport do iOS 26.4, também iniciam conexões de rede diretas que ignoram os canais de proxy.
• A Apple reconheceu o relatório de pesquisa e iniciou uma investigação interna, com os pesquisadores recomendando configurações completas de VPN como uma medida de proteção provisória.

O desenvolvimento de proxies de privacidade em nível de rede representou um marco importante na proteção de dados do consumidor. Integrados diretamente aos sistemas operacionais e aos motores de navegador padrão, esses utilitários permitiram que os usuários ocultassem sua localização física e identidade de rede durante a navegação. Ao rotear o tráfego do Safari por meio de uma arquitetura de salto duplo, o serviço de proxy separou a identidade do usuário dos registros de domínio de destino. Se um site tentasse traçar o perfil de um usuário, ele veria apenas o endereço IP do proxy intermediário, em vez da origem real do dispositivo, impedindo que redes de terceiros criassem perfis de localização persistentes.

No entanto, a integridade dos proxies de camada de aplicação depende de uma premissa crítica: todo o tráfego de rede originado no ambiente do navegador deve ser forçado pelo pipeline de proxy. Diferente das redes privadas virtuais (VPNs) em nível de sistema, que capturam todo o tráfego do dispositivo na camada de interface de rede, os proxies de camada de aplicação filtram apenas as solicitações processadas dentro do sandbox do navegador. Se um componente do sistema operacional executa uma busca de rede em nome de uma página da web fora do processo do navegador, a solicitação ignora o proxy completamente.

As implicações de segurança dos vazamentos no iCloud Private Relay da Apple vieram à tona em agosto de 2026, quando os pesquisadores Tommy Mysk e Talal Haj Bakry publicaram descobertas detalhadas em seu blog de pesquisa, conforme documentado no Relatório de Vazamento de Proxy WebKit do Mysk. Os pesquisadores lançaram uma ferramenta de verificação pública, leaks.psylo.app, permitindo que os usuários testassem se seus endereços IP reais estavam expostos apesar da proteção de proxy ativa. A verificação independente por veículos de mídia, incluindo a investigação da 404 Media, confirmou que a vulnerabilidade revelava de forma confiável endereços IP de roteadores reais. A Apple reconheceu o relatório e indicou que está investigando o problema, enquanto os pesquisadores observaram que uma correção arquitetural exigirá uma atualização do sistema operacional.

Análise Técnica Detalhada do Problema de Vazamento no iCloud Private Relay

Tecnicamente, a vulnerabilidade decorre de uma separação estrutural entre o processo de renderização da web do WebKit e o serviço de credenciais do sistema operacional. Quando um usuário interage com um site que implementa Passkeys pelo padrão WebAuthn, o WebKit delega a cerimônia de autenticação diretamente ao framework de credenciais do SO. Como o serviço de credenciais do sistema operacional opera independentemente do Safari, ele emite solicitações HTTPS diretas ao servidor de destino sem passar pelos nós de proxy do Private Relay.

Um site malicioso pode explorar essa lacuna arquitetural sem exigir interação do usuário. Ao configurar solicitações WebAuthn com mediação condicional (mediation: "conditional"), uma página da web pode acionar verificações de credenciais em segundo plano de forma silenciosa. Nenhum prompt de passkey ou indicador visual aparece na tela, mas o serviço de credenciais do sistema operacional dispara uma solicitação HTTPS não protegida, expondo o endereço IP real do dispositivo ao servidor de destino.

[Caminho de Relay do Safari via Proxy]
  Navegador Safari ──> Motor WebKit ──> Private Relay de salto duplo ──> Servidor de Destino (IP mascarado)


[Caminho do Serviço de Credenciais do SO (Vazado)]
  Chamada WebAuthn ──> Serviço de Credenciais do SO ──> Solicitação HTTPS direta ──> Servidor de Destino (IP real exposto)

Além disso, os pesquisadores identificaram dois recursos adicionais do WebKit que exibem comportamentos de desvio semelhantes. No iOS 26, as solicitações de pré-carregamento de DNS são disparadas diretamente pelo resolvedor de DNS nativo do dispositivo, em vez do canal de DNS via proxy, vazando detalhes do ISP local. No iOS 26.4, o protocolo WebTransport estabelece conexões diretas HTTP/3 que ignoram proxies de aplicação configurados. Como a Apple exige que todos os navegadores web para iOS utilizem o motor WebKit, esses vetores de bypass também afetam navegadores de terceiros no iOS, incluindo ferramentas focadas em privacidade, como o OnionBrowser.

Embora os proxies de privacidade e a atribuição móvel resolvam problemas de engenharia diferentes, ambos dependem de estados confiáveis no lado do servidor, e não apenas de contextos implicitamente confiáveis no lado do cliente. Esse mesmo padrão arquitetural é aplicado cada vez mais em cadeias de suprimentos de software, incluindo distribuição de SDKs, inicialização segura de aplicações e deep linking adiado. Quando uma aplicação depende de cookies de rastreamento ou parâmetros de armazenamento local não verificados no lado do cliente, agentes maliciosos ou bots automatizados podem manipular links de atribuição, gerando conversões falsas e corrupção de dados.

Construir vs. Comprar: Gestão da Preservação de Contexto na Era Pós-Proxy

À medida que as proteções de proxy no lado do cliente enfrentam riscos de bypass arquitetural, as equipes de engenharia precisam reavaliar como protegem pipelines de dados e preservam a continuidade de estado. Confiar apenas em endereços IP ou cabeçalhos de navegador no lado do cliente já não é suficiente para uma medição de nível empresarial. Gerenciar a preservação de estado na era dos vazamentos no iCloud Private Relay exige arquiteturas que imponham tokenização zero-trust e verificação de estado no lado do servidor.

As equipes de engenharia enfrentam a escolha entre construir um serviço interno de restauração de contexto ou implementar uma estrutura de medição certificada de terceiros.

Quando o tráfego do navegador ou os fluxos de trabalho da aplicação contornam as configurações de proxy locais e redirecionam um usuário para uma aplicação móvel nativa, a preservação do contexto de conversão exige migrar dos cookies do lado do cliente para a recuperação de parâmetros no lado do servidor. Dependendo dos requisitos de implementação, as organizações podem construir seu próprio serviço de restauração de parâmetros ou adotar plataformas comerciais, como o OpoInstall. Por exemplo, o OpoInstall oferece estruturas de restauração de estado e passagem de parâmetros no lado do servidor, preservando o Contexto de Inicialização de Aplicação associado a solicitações de abertura de apps, sem depender de tokens persistentes do lado do cliente. Ao preservar esse contexto no lado do servidor, os desenvolvedores garantem que os dados de jornada permaneçam intactos enquanto mantêm um isolamento de dados rigoroso.

Checklists de Integração: Fortalecendo Pipelines de Rede para Privacidade

Para evitar vazamentos de rede não autorizados e proteger pipelines de dados contra vetores de desvio de proxy, as equipes de engenharia e segurança devem implementar rotinas automatizadas de governança de rede.

Checklist de Implementação para Desenvolvedores

• Desativar WebTransport em Endpoints Sensíveis: Restrinja protocolos WebTransport em endpoints que exigem mascaramento de IP rigoroso até que os patches de proxy do WebKit sejam implementados.
• Filtrar Gatilhos de WebAuthn Condicional: Implemente verificação no lado do servidor para detectar e restringir solicitações silenciosas de WebAuthn que disparam buscas em segundo plano do SO.
• Impor Verificação de Parâmetros no Servidor: Substitua dependências de IP no lado do cliente por tokens criptografados para validar a autenticidade da origem da solicitação.
• Assinar Tokens de Contexto Gerados pelo Servidor: Ao redirecionar o tráfego do navegador para aplicações nativas, use parâmetros assinados criptograficamente em tokens de contexto para evitar adulteração de parâmetros.

Checklist de Estratégia de Produto e Growth

• Auditar Telemetria de Rede: Audite regularmente os logs de solicitações do lado do cliente para identificar buscas de rede não protegidas que se originam de serviços de credenciais do sistema.
• Transição para Verificação de Contexto no Servidor: Substitua cookies vulneráveis baseados em navegador pela recuperação de parâmetros no servidor para preservar o contexto de conversão de forma segura.
• Recomendar Proteções de VPN em Nível de Sistema: Para usuários que exigem anonimato de IP rigoroso, recomende soluções de VPN completas para dispositivos que criptografam o tráfego na camada de interface de rede.

Ao estabelecer essas salvaguardas técnicas, as organizações podem proteger suas arquiteturas de aplicação enquanto mantêm operações de dados em conformidade.

A descoberta do desvio do Private Relay destaca as limitações fundamentais dos proxies de privacidade em nível de aplicação. À medida que os sistemas operacionais integram serviços mais profundos em segundo plano, a separação entre o tráfego do navegador e as buscas em nível de sistema torna-se cada vez mais complexa. Depender de proxies de aplicação única já não é suficiente para garantir o anonimato total do IP entre os padrões modernos da web.

Para desenvolvedores e arquitetos de segurança, o futuro da proteção de dados depende de arquiteturas zero-trust e de verificação no lado do servidor. Implementar a resolução de identidade no servidor, parâmetros assinados criptograficamente e estruturas robustas de verificação de contexto garante que o contexto da aplicação permaneça preciso e à prova de violações. Estabelecer essas salvaguardas técnicas resilientes é essencial para proteger a infraestrutura empresarial e manter operações móveis seguras e em conformidade.