Tabla de contenidos
Un nuevo problema de privacidad en WebKit expone posibles fugas de información en navegadores con proxy de iOS y macOS, además de afectar a iCloud Private Relay. La investigación descubrió funciones que pueden saltarse estas protecciones y revelar conexiones reales del usuario.
WebKit tiene fallos que pueden exponer la IP real
Investigadores de seguridad Talal Haj Bakry y Tommy Mysk revelaron que tres funciones integradas en WebKit pueden ignorar las configuraciones de proxy utilizadas por algunos navegadores, enviando tráfico directamente desde el dispositivo.
El hallazgo es relevante porque todos los navegadores de terceros en iPhone y iPad deben utilizar WebKit debido a las políticas de la App Store de Apple. Esto significa que cualquier aplicación que dependa de estas herramientas de red podría estar expuesta.
La investigación comenzó tras un reporte de un usuario del navegador Psylo, quien detectó fugas de DNS en ciertos sitios web. Después de analizar el comportamiento, los expertos encontraron tres puntos vulnerables relacionados con la arquitectura de red de WebKit.
Te recomendamos leer: Snapdragon 8 Elite Gen 5V sorprende con potencia más barata
Las tres funciones que provocan las fugas
La primera vulnerabilidad está relacionada con la prebúsqueda de DNS (DNS Prefetching). Esta característica permite que una página web solicite al navegador resolver dominios antes de abrir una conexión, pero en este caso la consulta puede salir por la conexión normal del dispositivo en lugar del proxy.
El segundo problema afecta a WebAuthn Related Origin Requests, una función vinculada con las passkeys. Cuando una página solicita validar credenciales entre dominios relacionados, la petición puede ser realizada directamente por servicios del sistema operativo sin pasar por el proxy configurado.
Finalmente aparece WebTransport, una tecnología basada en HTTP/3 y QUIC diseñada para conexiones rápidas y de baja latencia. Según la investigación, estas conexiones pueden establecerse fuera del canal protegido, dejando visible la dirección IP original.
iCloud Private Relay también queda involucrado
Uno de los puntos más importantes es que las fugas también afectan a iCloud Private Relay, la herramienta de privacidad incluida para usuarios de iCloud+.
Aunque este sistema intenta ocultar la identidad del usuario mediante una conexión de doble salto, las funciones mencionadas operan fuera del flujo habitual de navegación que protege Private Relay.
Los expertos aclaran que las VPN tradicionales no presentan este problema, ya que funcionan a nivel del sistema y encapsulan todo el tráfico del dispositivo, no solamente el generado por el navegador.
Fugas de IP WebKit: Apple y los navegadores de privacidad enfrentan un nuevo reto
Este descubrimiento vuelve a poner sobre la mesa los desafíos de equilibrar nuevas funciones web con la privacidad del usuario. Tecnologías como WebAuthn y WebTransport buscan mejorar seguridad y rendimiento, pero requieren una integración cuidadosa con sistemas de protección.
El navegador Psylo solucionó estas vulnerabilidades en su versión 1.3.1, bloqueando la prebúsqueda DNS y desactivando WebTransport y WebAuthn por defecto. Los usuarios pueden activarlas manualmente cuando necesiten estas funciones específicas.
Las fugas de IP WebKit muestran que incluso las herramientas enfocadas en privacidad pueden enfrentar riesgos cuando nuevas capacidades web no pasan por todas las capas de protección existentes.
Para más contenidos como este no olvides seguirnos en nuestras redes sociales: Tiktok, Instagram y Facebook.
