Функция Apple «Скрыть мою почту» может раскрывать реальные адреса, утверждает исследователь
Инструмент конфиденциальности под прицелом
Функция Apple «Скрыть мою почту» призвана скрывать реальные адреса пользователей за одноразовыми алиасами, но новое исследование указывает, что система может не справляться с этой базовой задачей. Согласно материалам 404 Media, баг в функции может раскрывать реальный адрес электронной почты пользователя, подрывая обещание конфиденциальности, лежащее в основе одного из самых известных инструментов Apple по безопасности.
Тайлер Мёрфи (Tyler Murphy), исследователь, обнаруживший проблему, заявил, что сообщил Apple о проблеме более года назад. Он рассказал 404 Media, что неизвестно, почему компания до сих пор не исправила баг, и сказал, что каждая попытка эксплуатировать проблему в ограниченных тестах была успешной.
«Мы не знаем полного масштаба проблемы, но в наших ограниченных тестах с добровольцами 100 % адресов, созданных через «Скрыть мою почту», были уязвимы», — сказал Мёрфи изданию.
Почему баг может иметь значение
Мёрфи, который соосновал сервис по удалению данных EasyOptOuts, сказал, что публично доступные сайты поиска людей могут легко связать адрес электронной почты с другой персональной информацией. В этом контексте он предупредил, что пользователи, полагающиеся на «Скрыть мою почту» ради безопасности, могут оказаться в опасности.
Уязвимость не была раскрыта публично в деталях, по-видимому, чтобы снизить вероятность её злоупотребления. 404 Media сообщает, что протестировал и подтвердил существование бага.
TechCrunch сообщил, что обратился к Apple за комментарием и обновит материал в случае ответа компании.
Отчёт добавляет новый штрих к повторяющейся проблеме для Apple, которая строила большую часть своего бренда вокруг приватности. Компанию судили в 2022 году после сообщений о том, что приложения на iPhone продолжали отправлять аналитические данные Apple, даже когда была включена настройка «Аналитика iPhone». В 2023 году исследователи заявляли, что другая функция приватности — рандомизированные MAC-адреса, предназначенные для анонимизации Wi-Fi-подключений, — фактически раскрывала реальные MAC-адреса пользователей.
Для Apple последний отчёт ставит тот же неприятный вопрос, что и предыдущие: соответствуют ли её инструменты конфиденциальности обещаниям, которые помогли сформировать их репутацию.
Источники: