Tutkija: Applen Hide My Email -toiminnon haavoittuvuus voi paljastaa oikean sähköpostiosoitteen

Applen Hide My Email -yksityisyystoiminnosta on löytynyt haavoittuvuus, jonka väitetään voivan paljastaa käyttäjän oikean sähköpostiosoitteen aliasosoitteen takaa. 404 Media kertoo testanneensa ja vahvistaneensa ongelman, ja haavoittuvuuden löytänyt tutkija Tyler Murphy sanoo ilmoittaneensa siitä Applelle jo yli vuosi sitten.

Aliasosoitteiden tarkoitus on suojata käyttäjää

Hide My Email on iCloud+-palveluun kuuluva ominaisuus, jonka tarkoituksena on vähentää käyttäjän varsinaisen sähköpostiosoitteen leviämistä verkossa. Toiminnon avulla käyttäjä voi luoda yksilöllisiä ja satunnaisia sähköpostiosoitteita esimerkiksi sovelluksiin, verkkosivuille ja muihin verkkopalveluihin rekisteröitymistä varten.

Näihin aliasosoitteisiin lähetetyt viestit välitetään edelleen käyttäjän oikeaan sähköpostilaatikkoon. Applen omien tukisivujen mukaan Hide My Email on suunniteltu auttamaan käyttäjiä pitämään henkilökohtainen sähköpostiosoitteensa yksityisenä. Toiminnon hyöty perustuu siihen, ettei palvelulle annettu osoite paljasta suoraan käyttäjän varsinaista yhteystietoa.

Tutkijat kertovat haavoittuvuuden toimivan

Uuden raportoinnin mukaan haavoittuvuus voi kuitenkin murentaa tämän suojan. Yksityisyyspalveluja tarjoava EasyOptOuts kertoi 404 Medialle löytäneensä palvelusta ongelman, jonka avulla Hide My Email -aliasosoitteeseen liitetty oikea sähköpostiosoite voitaisiin saada selville. TechCrunchin mukaan tutkimus viittaa siihen, että virhe voi tehdä ominaisuudesta käytännössä hyödyttömän sen keskeisen yksityisyystarkoituksen kannalta.

Murphyn mukaan hän varoitti Applea haavoittuvuudesta yli vuosi sitten. Hänen mukaansa on epäselvää, miksi yhtiö ei ole vielä korjannut ongelmaa. Murphy sanoi myös, että kaikki yritykset hyödyntää haavoittuvuutta ovat onnistuneet.

Korjauksen aikataulu on epäselvä

Saatavilla olevissa tiedoissa ei kerrota, kuinka laajasti haavoittuvuutta olisi mahdollisesti hyödynnetty todellisissa tilanteissa. Raportoinnin ydin on kuitenkin selvä: tutkijoiden mukaan ongelma on olemassa, sitä on testattu, ja se on saattanut olla korjaamatta yli vuoden. Jos aliasosoite voidaan yhdistää oikeaan sähköpostiosoitteeseen, käyttäjän anonymiteetti heikkenee juuri siinä kohdassa, jota ominaisuuden on tarkoitus suojata.