WebKit laisse fuiter des informations malgré les proxies et iCloud Private Relay

S’il est une limitation discrète mais source de problèmes récurrents sur iPhone, c’est bien l’obligation, imposée par Apple, d’utiliser WebKit comme moteur de rendu pour tous les navigateurs. Le DMA a bien contraint Apple à lever cette restriction, mais aucun grand nom du domaine n’a pour le moment proposé de solution publique.

Nous étions déjà revenus sur ce paradoxe : alors que généralement la plupart des éditeurs sautent sur les brèches ouvertes par le DMA, aucun navigateur n’a pour le moment décidé de proposer un moteur autre que WebKit sur iOS ou iPadOS. Si le marché de l’Union européenne est vaste, il ne l’est pas encore assez pour justifier une adaptation d’un moteur de rendu complet. Au grand dam des utilisateurs… et posant le risque d’une faille ou d’un comportement impossible à contourner sur ces appareils, comme celui découvert par le blog Mysk.

Deux ans après le DMA, Microsoft « découvre » un Blink 30 % plus rapide que WebKit sur iPhone

Lorsque l’utilisateur passe par un proxy, ou utilise Tor, il s’attend à ce que tout ce qu’il fait soit protégé et passe par les chiffrements intégrés à l’outil utilisé. Or, WebKit laisse passer des éléments précieux pour tracer un utilisateur, à travers DNS Prefetching, WebAuthn for Passkeys, et WebTransport.

DNS Prefetching résout ainsi certains noms de domaine en utilisant le chemin DNS classique, beaucoup moins protégé, plutôt que d’utiliser le proxy. Même en utilisant iCloud Private Relay, pourtant créé par Apple, le schéma se répète, laissant fuiter des informations sur les sites consultés. Avec WebAuthn, le fichier de validation des passkeys est récupéré directement depuis l’appareil, révélant au passage l’adresse IP réelle de l’utilisateur. Enfin, pour WebTransport, c’est l’ouverture d’une connexion HTTP/3 directe qui trahit l’adresse IP réelle en contournant le proxy.

Si ces trois outils améliorent le confort d’utilisation, ils laissent malheureusement des traces qui réduisent l’intérêt d’un proxy ou de Tor. La seule exception étant le navigateur Onion, qui dans sa configuration Silver configure WebKit en mode « Isolement », supprimant au moins la faille du module WebTransport.

Les trois failles ont été découvertes par un utilisateur de Psylo qui a rapporté une fuite DNS, pour lequel elles ont été bouchées. Apple doit encore travailler sur un correctif qui à n’en pas douter devrait arriver rapidement dans une prochaine mise à jour, Cupertino ayant récemment apporté un soin tout particulier à ce genre de brèches, d’autant qu’elles sont maintenant publiques. En attendant, l’usage d’un VPN est à privilégier pour ceux qui souhaitent laisser le moins de traces possibles.