# Private Relay di Apple ha una falla nelle passkey? Basterebbe un sito senza login URL: https://menteinformatica.it/software-app/private-relay-apple-falle-ip/ Autore: Giorgio Perillo Aggiornato: 2026-10-01 Categoria: Software e App --- Private Relay, la funzione di iCloud+ che dovrebbe nascondere l’indirizzo IP durante la navigazione su Safari, avrebbe tre punti in cui quella protezione non funzionerebbe come promesso. Lo sostengono i ricercatori di sicurezza **Talal Haj Bakry e Tommy Mysk**, che hanno pubblicato i dettagli tecnici della scoperta all’inizio di agosto. La vicenda, riportata inizialmente da 404 Media e ripresa da The Next Web, riguarda tre meccanismi distinti dentro **WebKit**, il motore di rendering che Apple impone a tutti i browser su iPhone. Non sono bug isolati di un’app: toccano ogni browser che si affida al proxy di sistema, incluso **OnionBrowser**, la versione mobile pensata per instradare il traffico su Tor. ## Le tre vie che bypassano il tunnel Private Relay divide il traffico su due relay separati, in modo che nessuno veda insieme chi sei e dove navighi. Il problema, secondo i ricercatori, è che non tutto il traffico di una pagina segue davvero quel percorso. - **Passkey**: quando un sito chiede una passkey legata a un altro dominio, il servizio di credenziali del sistema recupera un file di verifica direttamente dal dispositivo, fuori dal tunnel. Basta aprire la pagina, senza fare login. - **DNS prefetching**: la funzione che anticipa la risoluzione degli indirizzi per velocizzare il caricamento passerebbe dal percorso di rete normale, esponendo i server DNS reali. - **WebTransport**: il protocollo di connessione più recente apre un collegamento diretto che salterebbe il proxy. La falla legata alle passkey è quella che i ricercatori definiscono più seria: qualsiasi sito che dichiari (o simuli) di supportare le passkey potrebbe vedere l’IP reale dell’utente, con Private Relay attivo, senza che scatti alcun avviso visibile. ## Un limite da non ignorare, e uno da non esagerare Il Tor Browser desktop non risulterebbe interessato dal problema, e nemmeno le [VPN tradizionali](https://menteinformatica.it/sicurezza-privacy/vpn-vs-proxy-quale-scegliere-privacy/), che incapsulano tutto il traffico del dispositivo a livello di sistema invece che di singola app. Private Relay non è mai stata una VPN completa, e Apple lo dichiara esplicitamente da anni: il problema nasce esattamente in quel margine tra promessa parziale e aspettativa dell’utente. Vale anche un limite opposto, quello che riduce l’allarme: la fuga riguarderebbe solo l’indirizzo IP e alcuni dati DNS, nulla di più, secondo quanto riferito da Mysk. Collegare quell’IP a una sessione di navigazione specifica richiederebbe che un sito venga costruito apposta per sfruttare il bug: vederlo è alla portata di chiunque supporti le passkey, usarlo in modo dannoso richiede intenzione. **Da sapere:** secondo quanto riportato, Apple avrebbe già preso in carico la segnalazione entro un giorno dalla pubblicazione, con una correzione indicata per l’autunno 2026. Pubblicamente l’azienda si sarebbe limitata a dire che sta investigando. ## Perché la tempistica non è casuale I ricercatori non hanno usato subito il canale ufficiale di Apple per segnalare il problema, citando una storia di risposte lente e di valutazioni al ribasso dell’impatto reale. Hanno pubblicato prima, poi inviato il link ad Apple. È una scelta che si commenta da sola: la sicurezza si muove più in fretta sotto i riflettori, e qui i riflettori li hanno acceso i ricercatori stessi, non l’azienda. Bakry e Mysk sviluppano anche un browser iOS concorrente, Psylo, di cui hanno già rilasciato una versione che chiuderebbe tutte e tre le falle. Questo dà loro un interesse diretto nella storia, ma non basta a mettere in dubbio la sostanza tecnica: i bug sarebbero riproducibili, e la falla sulle passkey era già stata segnalata da 404 Media come verificata su un sito di test reale. Il conto arriva un mese dopo un altro caso simile: 404 Media aveva già trovato che Hide My Email, altro strumento di iCloud+, esponeva indirizzi email reali, un problema che Apple avrebbe conosciuto per oltre un anno prima di correggerlo. Due episodi in due mesi sulla stessa base di prodotti privacy non sono una coincidenza statistica, sono un pattern che pesa proprio perché Apple vende la privacy come differenziale rispetto ad Android. La correzione indicata per l’autunno 2026 resta, al momento, un’indicazione riportata dai ricercatori e non una data ufficiale di Apple. Fonte: [thenextweb.com](https://thenextweb.com/news/apple-private-relay-ip-leak-webkit-passkeys).