Cela fait un an. Apple n’a toujours pas corrigé une faille dans sa fonctionnalité phare de confidentialité. Ou plutôt, il avoue en avoir connaissance. Mais ils n’ont pas fermé la porte.
« Masquer mon e-mail » est censé être un bouclier. Il vous donne un alias iCloud unique pour lutter contre les pièges à spam et les inscriptions sommaires. Votre véritable adresse reste en sécurité derrière le rideau. Une couche d’anonymat propre pour votre vie numérique.
Le rideau est tiré. EasyOptOuts, une société de confidentialité en ligne, a constaté que n’importe qui peut jeter un coup d’œil derrière cela. Ils peuvent trouver la véritable adresse e-mail liée à cette fausse adresse iCloud. Juste en demandant.
“Apple Hide My Email divulgue des adresses censées être masquées.”
— Tyler Murphy, cofondateur d’EasyOptOuts
Ils l’ont dit à Apple il y a plus d’un an. Juin 2024, si l’on se fie à la chronologie ici. Apple a déclaré qu’ils s’en occupaient. Murphy attendit. Le défaut est resté. Il est donc allé voir 404 Media avec la preuve. Une confirmation indépendante a suivi. L’exploit fonctionne. 404 Media ne partagera pas la méthode technique spécifique – ils sont responsables comme ça – la laisser en ligne pour l’instant est un choix qui semble risqué. Pourquoi prendre ce pari ?
Les tests étaient brusques. Les bénévoles ont utilisé leurs pseudonymes. Chacun a été exposé. Taux de réussite de cent pour cent pour les attaquants. Ce n’est pas un bug. C’est un échec de conception laissé pourrir dans le bois.
La situation empire si vous utilisez ce service pour des raisons sérieuses. Peut-être détestez-vous recevoir des newsletters marketing sur votre boîte de réception personnelle. Peut-être que vous vous inscrivez sur des sites mais que vous ne souhaitez pas qu’ils vous suivent via votre adresse principale. Les utilisateurs d’iCloud+ ont payé pour cette commodité. Ils doivent désormais payer de leur vigilance.
TechCrunch a rapporté en juin dernier qu’Apple prévoyait de toute façon de mélanger les domaines. Déplacer ces alias vers « private.icloud.com ». Le domaine actuel « iCloud.com » est partagé avec des utilisateurs réguliers, ce qui donne à l’alias une apparence réelle. Le nouveau domaine crierait masque de confidentialité. Ce qui signifie que les sites Web pourraient simplement les bloquer. Inutilité instantanée pour les utilisateurs qui ont réellement besoin de cette fonctionnalité.
Alors nous sommes assis ici. Le masque glisse. Les changements de domaine menacent de rendre la fonctionnalité inutile. L’enquête sur les allégations d’Apple se poursuit jusqu’en mai. C’est désormais une vieille nouvelle.
Les utilisateurs sont livrés à eux-mêmes pour le moment. Vérifiez peut-être ces autres outils de confidentialité. Supposons peut-être que l’e-mail n’est pas sécurisé. Apple dit qu’ils y travaillent. Nous avons déjà entendu cela.
La fuite est réelle. La solution est lointaine. La confiance s’érode doucement.
