Poważna luka w zabezpieczeniach „Ukryj mój adres e-mail” zagraża prywatności użytkowników

Funkcja Apple „Ukryj mój adres e-mail”, podstawowy element usługi subskrypcji iCloud Plus, zaprojektowana w celu ochrony tożsamości użytkownika poprzez maskowanie prawdziwych adresów e-mail losowymi aliasami, okazała się zawierać poważną lukę w zabezpieczeniach.

Odkrycie luki

Przez lata użytkownicy korzystali z funkcji Ukryj mój adres e-mail, aby zapobiec przechwyceniu ich głównych adresów przez spamerów lub pośredników w handlu danymi. Jednak raport 404 Media, powołujący się na badacza bezpieczeństwa Tylera Murphy'ego, wskazuje, że system ten nie jest tak niezawodny, jak twierdzi. Murphy, który jako pierwszy zwrócił uwagę Apple na ten problem ponad rok temu, wykazał, że atakujący mogą obejść ochronę aliasów i odkryć ukryty, prawdziwy adres e-mail użytkownika iCloud.

Niepokojąca oś czasu ujawnienia

Odchodząc od standardowych protokołów odpowiedzialnego ujawniania, luka pozostaje niezałatana, mimo że została zgłoszona Apple dawno temu. Chociaż standardowa praktyka branżowa zazwyczaj daje firmom 90 dni na weryfikację i usunięcie luk w zabezpieczeniach, ta sprawa ciągnie się już ponad 12 miesięcy. Apple podobno poinformowało badacza o wdrożeniu poprawki już w marcu tego roku; jednak późniejsze testy przeprowadzone przez śledczych potwierdziły, że mechanizm ten nadal jest podatny na ataki. Apple skontaktowało się z badaczem, wzywając go do wstrzymania się z publicznym ujawnieniem informacji do czasu pełnego wdrożenia funkcjonalnej poprawki, jednak ciągłe istnienie błędu naraziło wielu użytkowników dbających o prywatność.

Dlaczego warto rozważyć alternatywy

Poza tą konkretną luką w zabezpieczeniach, Apple przenosi również swoje aliasy do nowej subdomeny „@private.icloud.com”. Eksperci ds. prywatności ostrzegają, że ta zmiana może ułatwić witrynom internetowym i reklamodawcom identyfikację i blokowanie tych aliasów, co skutecznie zniweczy sens stosowania maski adresu e-mail.

Jeśli martwisz się o swój cyfrowy ślad, istnieje kilka solidnych alternatyw:

• SimpleLogin (firmy Proton): Wysoko ceniona usługa oferująca łatwe w obsłudze narzędzia do zarządzania aliasami na wszystkich platformach.
• Ochrona poczty e-mail DuckDuckGo: Bezpłatna, lekka usługa generująca aliasy „@duck.com” i jednocześnie usuwająca ukryte piksele śledzące z przychodzącej poczty.
• Mozilla Firefox Relay: Oferuje uproszczony interfejs do tworzenia i zarządzania maskami adresu e-mail za pomocą prostego rozszerzenia przeglądarki.

Chociaż Apple stworzył wiodący w branży zestaw narzędzi do ochrony prywatności, incydent ten stanowi dobitne przypomnienie, że nawet „magiczne” funkcje bezpieczeństwa wymagają ciągłej czujności. Dopóki nie zostanie potwierdzona ostateczna wersja poprawki, użytkownicy powinni rozważyć ponowne rozważenie zasadności korzystania z natywnego systemu maskowania wiadomości e-mail firmy Apple.