Uplynul celý rok. Apple stále neodstranil chybu ve svém vlajkovém nástroji pro ochranu osobních údajů. Nebo spíše firma přiznává, že o její existenci ví, ale dveře stále nejsou zavřené.
Funkce Hide My Email byla navržena jako štít. Vytváří jedinečný alias iCloud, který lze použít místo skutečné adresy při registraci na podezřelé stránky nebo pasti na spam. Vaše skutečná adresa zůstává v bezpečí za oponou a poskytuje čistou vrstvu anonymity pro váš digitální život.
Nyní je ale opona odtažena. Společnost EasyOptOuts na ochranu soukromí online zjistila, že se do ní může podívat kdokoli. Útočníci mohou najít skutečnou e-mailovou adresu spojenou s falešným aliasem iCloud. Stačí se jen zeptat.
“Funkce Hide My Email společnosti Apple uniká adresy, které by měly být skryty.”
– Tyler Murphy, spoluzakladatel EasyOptOuts
Tento problém oznámili společnosti Apple před více než rokem. Podle poskytnuté chronologie se to stalo v červnu 2024. Apple uvedl, že problém vyšetřuje. Murphy čekal. Chyba zabezpečení nebyla nikdy opravena. Poté předal důkazy týmu 404 Media. Nezávislé potvrzení na sebe nenechalo dlouho čekat. Vykořisťování funguje. 404 Media nezveřejnila konkrétní technický způsob útoku – jsou dostatečně zodpovědní, aby takové podrobnosti nezveřejnili. Rozhodnutí ponechat zranitelnost aktivní se však jeví jako riskantní krok. Proč hrát tuto sázku?
Testování bylo extrémně jednoduché. Dobrovolníci používali své pseudonymy. Všechny bez výjimky byly odhaleny. Útočníci prokázali 100% efektivitu. To není jen chyba. Toto je chyba v návrhu systému, která měla být již dávno opravena.
Situace se ještě zhorší, pokud tuto službu využíváte ze závažných důvodů. Možná nesnášíte přijímání marketingových e-mailů do vaší osobní schránky. Možná se zaregistrujete na stránkách, ale nechcete, aby vás sledovaly prostřednictvím vaší primární adresy. Uživatelé iCloud+ za toto pohodlí platí. Nyní musí za svou ostražitost platit sami.
Loni v červnu TechCrunch oznámil, že Apple stejně plánuje změnit domény. Aliasy by se měly přesunout do domény private.icloud.com. Současnou doménu icloud.com používají běžní uživatelé, díky čemuž aliasy vypadají jako skutečné adresy. Nová doména bude výslovně označovat masku soukromí. To znamená, že stránky budou moci takové adresy jednoduše zablokovat. Tato funkce se okamžitě stane nepoužitelnou pro uživatele, kteří ji skutečně potřebují.
Toto je situace, ve které se nacházíme. Maska spadne. Hrozí, že změna domény učiní funkci irelevantní. Apple tvrdí, že vyšetřování pokračovalo do května. To už je ale zastaralá zpráva.
V tuto chvíli jsou uživatelé ponecháni svému osudu. Možná by stálo za to vyzkoušet další nástroje ochrany osobních údajů. Může být dobré předpokládat, že e-mailová adresa není bezpečná. Apple tvrdí, že pracuje na opravě. Už jsme to slyšeli.
Únik je skutečný. Náprava je vzdálená. Důvěra tiše eroduje.
