Un proxy, Tor ou iCloud Private Relay ne suffisent pas forcément à faire transiter chaque requête web par le même canal. D’après les chercheurs de Mysk, trois fonctions de WebKit peuvent établir des échanges qui échappent au proxy défini dans le navigateur, avec des données potentiellement liées au DNS ou à l’adresse IP.
Le constat concerne iOS et macOS. Sur iPhone, l’enjeu est particulièrement large : tous les navigateurs sont tenus d’utiliser WebKit, y compris ceux qui proposent une navigation via proxy ou Tor.
Préchargement DNS, WebAuthn et WebTransport en cause
L’enquête a commencé lorsqu’un utilisateur de Psylo, le navigateur de Mysk, a signalé une fuite DNS. L’équipe a ensuite isolé trois mécanismes de WebKit : le préchargement DNS, WebAuthn et WebTransport.
Le préchargement DNS cherche à accélérer l’ouverture des pages en résolvant à l’avance certains noms de domaine. WebAuthn sert notamment aux passkeys et aux méthodes d’authentification sur le web. WebTransport est une technologie destinée aux communications web modernes. Selon Mysk, ces trois fonctions peuvent emprunter un chemin distinct de celui du proxy du navigateur.
Mysk propose un site de test permettant d’observer les fuites détectées. Les résultats visent notamment Safari et les navigateurs iOS qui reposent sur une configuration de proxy ou sur Tor.
Psylo désactive ces mécanismes selon les sites
La dernière version de Psylo corrige les trois comportements relevés par Mysk en désactivant les fonctions concernées. Ce réglage s’effectue site par site : l’utilisateur doit donc arbitrer entre les fonctions susceptibles d’améliorer la rapidité ou la simplicité de certains services et un passage plus cohérent par le proxy.
Une exception est relevée pour Onion Browser. Avec son niveau de sécurité « Silver », qui active le mode Isolement de WebKit, la fuite associée à WebTransport ne se produit pas, indique Mysk.
Ce que ça change
Pour les personnes qui utilisent un proxy, Tor ou iCloud Private Relay afin de réduire les informations exposées pendant leur navigation, la protection dépend aussi des fonctions activées par le navigateur. Le choix du relais ne garantit donc pas, à lui seul, que tous les échanges suivent le même itinéraire.
Mysk estime qu’un VPN évite ce cas précis, car il chiffre le trafic à l’échelle du système plutôt qu’au seul niveau du navigateur. La découverte souligne surtout l’importance de contrôler les mécanismes annexes de WebKit lorsque la confidentialité réseau est prioritaire.
À lire aussi
- Apple déploie de nouvelles mises à jour de sécurité pour macOS Sequoia et Sonoma
- Mise à jour iOS 26.5.2 : plus de 25 failles de sécurité corrigées sur iPhone
- Apple déploie une première amélioration de la sécurité en arrière-plan pour iPhone, iPad et Mac
Source : Mysk — blog
