Журналисты издания 404Media рассказали об уязвимости, за которую владельцы «яблочной» техники платят уже более года. Речь идёт о «дыре» в исходном коде функции «Скрыть e-mail», которая входит в состав платной подписки iCloud+.
Суть функции заключается в том, чтобы не раскрывать сервису или получателю настоящий адрес электронной почты. Вместо него система генерирует уникальный псевдоним (например, cvjwdns8dj@privaterelay.appleid.com). Пользователь использует этот алиас при регистрации на сайте, подписке на рассылку или даже при отправке письма. После этого система автоматически пересылает все сообщения, отправленные на этот псевдоним, в основной почтовый ящик пользователя.
Как выяснилось, уязвимость позволяет определить реальный адрес электронной почты, к которому привязан сгенерированный псевдоним. А если злоумышленник воспользуется некоторыми общедоступными инструментами для поиска информации о людях, он сможет получить доступ и к другим персональным данным.
В 404Media не стали раскрывать механизм работы уязвимости, однако уточнили, что она существует уже более года, а разработчики Apple до сих пор не устранили проблему. По данным журналистов, компания неоднократно заявляла, что исправила ошибку, но на практике уязвимость продолжала работать.
Остаётся лишь гадать, как часто эта уязвимость использовалась для получения доступа к реальным адресам электронной почты пользователей.
