Apple заявила, что устранила уязвимость в «Скрыть e-mail» (Hide My Email) 3 июля, однако журналисты издания AppleInsider смогли воспроизвести проблему ещё через две недели. Ошибка позволяла потенциально раскрыть настоящий адрес электронной почты, связанный с псевдонимом iCloud.
«Скрыть e-mail» создаёт уникальные адреса для сайтов и сервисов, пересылая полученные письма в основной почтовый ящик пользователя. Такая схема должна скрывать реальный адрес от отправителей. Но если злоумышленник уже располагал конкретным псевдонимом, он мог техническими средствами связать его с постоянным адресом пользователя.
На проблему Apple указывали исследователи компании EasyOptOuts. По данным специалистов, в Купертино получали отчёты об уязвимости примерно год и несколько раз сообщали об исправлении, после чего исследователи вновь подтверждали, что проблема сохраняется. Apple заявила о полном устранении ошибки после обновления, выпущенного 3 июля.
Последний тест AppleInsider показал, что утверждение о завершённом исправлении было преждевременным либо обновление распространялось поэтапно. Apple не уточнила, когда именно завершилось развёртывание патча и почему уязвимость продолжала работать после заявленной даты. При этом опубликованные проверки не доказывают массовую эксплуатацию ошибки.
Потенциальный ущерб был связан именно с потерей конфиденциальности псевдонима: ошибка не давала доступ к паролям, Apple Account или содержимому почтового ящика. Исследователи предупреждают, что настоящие адреса, связанные со старыми псевдонимами, могли сохраниться в журналах сторонних почтовых сервисов. Поэтому удаление старого адреса не гарантирует стирания уже собранной информации.
Мнение редакции
Приватность сервиса определяется не только наличием функции, но и качеством реакции компании на сообщения исследователей. Особенно тревожно, что Apple несколько раз объявляла проблему исправленной, хотя независимые проверки давали иной результат.
Отключать функцию полностью оснований нет, но пользователям стоит осторожнее относиться к старым псевдонимам и не использовать связанный с ними реальный адрес в ситуациях, где важна анонимность.
