Функция «Скрыть e-mail» от Apple оказалась уязвимой: реальные адреса пользователей могут быть раскрыты

Сервис «Скрыть e-mail» (Hide My Email), предназначенный для защиты личных данных подписчиков iCloud+, может не обеспечивать заявленный уровень приватности. Обнаруженная уязвимость позволяет злоумышленникам связать анонимные адреса, созданные системой, с реальными почтовыми ящиками пользователей.

Суть проблемы и риски для конфиденциальности

Данная функция позволяет создавать уникальные случайные адреса электронной почты, которые автоматически перенаправляют входящие сообщения на основной ящик владельца. Это решение позиционируется как эффективный способ борьбы со спамом и трекерами данных, а также как инструмент защиты персональной информации в случае утечек из сторонних сервисов. Однако, согласно расследованию издания 404 Media, в системе безопасности обнаружена брешь, позволяющая деанонимизировать пользователей.

История обнаружения и реакция Apple

Проблема была выявлена специалистами компании EasyOptOuts. По словам генерального директора организации Тайлера Мерфи, команда связалась с Apple еще год назад, предоставив подробную инструкцию по воспроизведению ошибки. В ходе дальнейшей переписки представители технологического гиганта сообщали, что изучают вопрос или уже занимаются внедрением исправления.

Несмотря на заявления Apple, экспертам и журналистам удалось успешно использовать данную уязвимость в ходе недавней проверки. Точные технические детали механизма атаки не раскрываются из соображений безопасности, чтобы не допустить массового использования эксплойта против рядовых пользователей.

Результаты тестирования безопасности

В ходе экспертного анализа были сделаны следующие выводы:

• В серии тестов с участием добровольцев уязвимость подтвердилась в 100% случаев.
• Злоумышленники получают возможность сопоставить временный адрес с настоящими контактными данными пользователя.
• Полный масштаб проблемы пока не определен, но потенциальному риску подвержены все подписчики сервисов Apple, использующие анонимайзер почты.

В обзоре отмечается, что эксперты приняли решение о публичной огласке, так как за год Apple не предоставила эффективного решения. По мнению специалистов, пользователи имеют право знать о том, что их личные данные могут быть скомпрометированы, несмотря на использование защитных инструментов компании.

Твитнуть