Vulnerabilidades de WebKit exponen direcciones IP reales en iOS
Contenido del artículo
El compromiso histórico de Apple con la privacidad de sus usuarios ha entrado en una fase de intenso escrutinio tras la divulgación de una investigación de ciberseguridad de alto impacto. Los reconocidos investigadores Talal Haj Bakry y Tommy Mysk, conocidos colectivamente en la industria como Mysk, revelaron el hallazgo de tres vulnerabilidades de WebKit que comprometen de forma directa el anonimato digital en sistemas iOS y macOS. Estos fallos permiten que sitios web externos eludan por completo la configuración de proxies a nivel de aplicación, exponiendo la dirección IP pública real del usuario y sus consultas DNS privadas. La severidad del problema no solo impacta a navegadores de terceros orientados a la privacidad —como las soluciones basadas en la red Tor—, sino que neutraliza el mecanismo de defensa de iCloud Private Relay, el servicio de Retransmisión Privada que Apple ofrece a sus suscriptores de iCloud+.
Para comprender la magnitud de esta falla sistémica, es necesario examinar la arquitectura impuesta por Apple en sus plataformas móviles. La política de la App Store obliga a que absolutamente todos los navegadores web distribuidos para iPhone e iPad utilicen WebKit como su motor de renderizado y procesamiento subyacente. Con el fin de permitir que aplicaciones enfocadas en el anonimato dirijan el tráfico a través de redes cifradas o servidores proxy, Apple introdujo en sus kits de desarrollo la interfaz WKWebsiteDataStore.proxyConfigurations. En condiciones normales, esta API debe obligar a que cualquier socket o petición de red generada dentro de la sesión de navegación sea enrutada hacia la dirección del proxy. Sin embargo, el análisis de Mysk demostró que tres componentes fundamentales del propio motor WebKit ejecutan llamadas de red que ignoran por completo estas reglas de enrutamiento.
Desglose técnico: Las tres vulnerabilidades de WebKit al descubierto
El fallo no responde a una simple omisión de software, sino a discrepancias estructurales en la forma en que las funciones modernas de la web interactúan con la pila de
Escrito por
TempMail Ninja
Experto en privacidad digital y seguridad en línea. Apasionado por crear herramientas que protejan la identidad de los usuarios en internet.
