Впервые представленная на WWDC 21 фишка «Скрыть e-mail» была задумана Apple как защита от спама: она передаёт веб-сайтам рандомно сгенерированные адреса электронной почты, а прилетающие на них письма переадресует уже на ваш настоящий ящик.
При этом Apple взяла на себя обязательство фильтровать всю входящую почту: отправить сообщение на сгенерированный адрес может только сайт, на котором эта учётка и была использована.
Довольны все: сайт получает почту для регистрации, пользователь — защиту от спама и гарантию конфиденциальности, поскольку настоящий e-mail остаётся скрытым. Или нет?
Эксперт по кибербезопасности Тайлер Мёрфи обнаружил уязвимость, позволяющую узнать реальный e-mail пользователя, скрытый за генерированным псевдонимом.
Принцип работы эксплойта он не раскрыл, но передал его Apple и журналистам из 404 Media — тем удалось воспроизвести его в 100 % случаев.
Как скоро Apple сможет устранить проблему — неизвестно. По словам Мёрфи, первое письмо с описанием уязвимости он направил компании ещё в прошлом году, а воз и ныне там: сервис «Скрыть e-mail» по-прежнему допускает утечку адресов электронной почты, которые должны оставаться скрытыми.
