Fuga DNS e IP no iOS: WebKit contorna seus proxies mesmo com o iCloud Private Relay ativo

Pesquisadores do mysk.blog descobriram que o WebKit — o mecanismo obrigatório de todos os navegadores iOS — envia requisições DNS e revela o endereço IP real antes que o túnel proxy seja estabelecido. O iCloud Private Relay não protege contra esse comportamento.

O problema técnico

Os pesquisadores do mysk.blog documentaram uma fuga no WebKit (o mecanismo de renderização que a Apple impõe a todos os navegadores no iOS/iPadOS por meio das regras da App Store): em determinadas configurações de rede, o WebKit emite solicitações DNS ou estabelece conexões TCP antes que o proxy configurado esteja ativo, revelando assim:

• O endereço IP real do dispositivo para servidores de terceiros
• Os nomes de domínio dos recursos carregados (vazamento de DNS)

Esse comportamento contorna o iCloud Private Relay (a funcionalidade de privacidade de rede da Apple disponível para assinantes do iCloud+) e também os VPNs e proxies configurados manualmente.

Escopo

Quem é afetado:

• Todos os usuários do iOS/iPadOS que utilizam um VPN ou proxy por motivos de privacidade
• Assinantes do iCloud+ que confiam no Private Relay para ocultar seu IP
• Aplicativos que usam WKWebView (o componente WebKit padrão para webviews nos apps iOS)

O que pode ser potencialmente exposto:

• O IP real do dispositivo, revelado aos servidores DNS intermediários
• Os nomes de domínio dos recursos carregados, revelados fora do túnel

A fuga é parcial e condicional — não se aplica a todos os tipos de requisições, mas a tipos específicos de carregamento de recursos. No entanto, é suficiente para comprometer a privacidade de rede em contextos sensíveis.

Contexto do iOS: um único motor para governá-los todos

No Android, o Chrome usa o Blink, o Firefox usa o Gecko. No iOS, todos os navegadores — Chrome, Firefox, Brave, Opera, DuckDuckGo — são obrigados a usar o WebKit pelas regras da App Store. Uma falha no WebKit afeta, portanto, simultaneamente 100% dos navegadores no iOS, independentemente do desenvolvedor.

A Apple introduziu uma exceção parcial para navegadores alternativos na União Europeia (DMA, 2024), mas a maioria dos usuários do iOS no mundo ainda depende do WebKit.

O que fazer

Usuários:

• Não tratar o iCloud Private Relay como uma proteção absoluta de anonimato — ele atenua a rastreabilidade, mas não é um VPN completo
• Aplicar assim que possível a próxima atualização do iOS/iPadOS (o patch será feito por meio de uma correção no WebKit)
• Para uso de alta privacidade no iOS, combinar VPN + monitoramento ativo do tráfego de rede

Desenvolvedores:

• Testar seus WKWebView com um proxy ativo e uma ferramenta de captura de rede (Charles Proxy, mitmproxy) para detectar possíveis requisições fora do túnel
• Verificar se seus componentes WebView não fazem requisições de prefetch/preconnect antes que as configurações de rede estejam corretamente estabelecidas