Fuga de DNS e IP en iOS: WebKit elude sus proxys incluso con iCloud Private Relay activo

Los investigadores de mysk.blog han descubierto que WebKit —el motor obligatorio de todos los navegadores en iOS— envía solicitudes DNS y revela la dirección IP real antes de que se establezca el túnel proxy. iCloud Private Relay no protege contra este comportamiento.

El problema técnico

Los investigadores de mysk.blog han documentado una fuga en WebKit (el motor de renderizado que Apple impone a todos los navegadores en iOS/iPadOS mediante las reglas de la App Store): en ciertas configuraciones de red, WebKit emite peticiones DNS o establece conexiones TCP antes de que el proxy configurado esté activo, revelando así:

• La dirección IP real del dispositivo a servidores de terceros
• Los nombres de dominio de los recursos cargados (fuga de DNS)

Este comportamiento elude iCloud Private Relay (la función de privacidad de red de Apple disponible para suscriptores de iCloud+) así como los VPN y proxys configurados manualmente.

Alcance

¿Quién está afectado:

• Todo usuario de iOS/iPadOS que utilice un VPN o proxy por razones de privacidad
• Los suscriptores de iCloud+ que confían en Private Relay para ocultar su IP
• Las aplicaciones que usan WKWebView (el componente estándar de WebKit para webviews en apps iOS)

Qué podría estar expuesto:

• La IP real del dispositivo, revelada a servidores DNS intermedios
• Los nombres de dominio de los recursos cargados, revelados fuera del túnel

La fuga es parcial y condicional: no se aplica a todas las peticiones, pero sí a tipos específicos de carga de recursos. Suficiente, no obstante, para comprometer la privacidad de red en contextos sensibles.

Contexto iOS: un solo motor para gobernarlos a todos

En Android, Chrome usa Blink, Firefox usa Gecko. En iOS, todos los navegadores —Chrome, Firefox, Brave, Opera, DuckDuckGo— están obligados a usar WebKit por las reglas de la App Store. Una falla en WebKit afecta, por tanto, simultáneamente al 100 % de los navegadores en iOS, independientemente del editor.

Apple introdujo una excepción parcial para navegadores alternativos en la Unión Europea (DMA, 2024), pero la mayoría de los usuarios de iOS en el mundo siguen usando WebKit.

Qué hacer

Usuarios:

• No tratar iCloud Private Relay como una protección absoluta de anonimato: mitiga la trazabilidad, pero no es un VPN completo
• Aplicar lo antes posible la próxima actualización de iOS/iPadOS (el parche llegará a través de una actualización de WebKit)
• Para un uso de alta privacidad en iOS, combinar VPN + supervisión activa del tráfico de red

Desarrolladores:

• Probar sus WKWebView con un proxy activo y una herramienta de captura de red (Charles Proxy, mitmproxy) para detectar posibles peticiones fuera del túnel
• Verificar que sus componentes WebView no realicen peticiones de prefetch/preconnect antes de que las configuraciones de red estén correctamente establecidas