Apple’ın iCloud+ abonelerine sunduğu Hide My Email özelliği, kullanıcıların gerçek e-posta adreslerini paylaşmadan anonim bir adres üretmesine imkan tanıyor. Bu yapı genelde spam’i azaltmak, takip mekanizmalarından kaçınmak ve olası veri ihlallerine karşı kişisel iletişim bilgisini korumak için kullanılıyor. Ancak ortaya çıkan yeni bir güvenlik sorunu, bu korumanın her durumda beklendiği kadar güçlü olmayabileceğini gösteriyor.
Bildirilen açığa göre saldırganlar, Apple tarafından oluşturulan anonim e-posta adresleri ile kullanıcının gerçek e-posta adresi arasında bağlantı kurabiliyor. Başka bir deyişle sistemin temel amacı olan kimliği gizleme katmanı belirli koşullarda aşılabiliyor. Haberde, açığın nasıl çalıştığına dair teknik ayrıntılar paylaşılmadı. Bunun nedeni, yöntemin kötüye kullanım riskini artırmamak ve Apple kullanıcılarını ek tehlikeye atmamak olarak belirtiliyor.
Sorunun EasyOptOuts ekibi tarafından tespit edildiği aktarılıyor. Ekibin CEO’su Tyler Murphy’nin, açığın nasıl yeniden üretilebildiğine dair bilgileri yaklaşık bir yıl önce Apple’a ilettiği ifade ediliyor. Süreç boyunca şirketle e-posta üzerinden görüşmeler yapıldığı, Apple’ın da farklı aşamalarda konuyu incelediğini, çözüm üzerinde çalıştığını veya bir düzeltmenin devreye alınmış olabileceğini belirttiği söyleniyor.
Buna karşın Murphy ile haberi hazırlayan gazetecinin, açık yöntemini yakın zamanda yeniden kullanabildiği belirtiliyor. Murphy’nin değerlendirmesine göre problemin neden hâlâ tamamen giderilmediği net değil. Ayrıca ellerindeki sınırlı gönüllü testlerinde denenen Hide My Email adreslerinin tamamının açıktan etkilenebildiği ifade ediliyor. Bu oran, test kapsamı geniş olmasa da sorunun ciddiyetine işaret ediyor.
Şimdilik açığın kapsamının tam olarak ne kadar geniş olduğu bilinmiyor. Yani tüm kullanıcıların aynı şekilde etkilenip etkilenmediği ya da belirli kullanım senaryolarının daha riskli olup olmadığı netleşmiş değil. Apple cephesinden ise konuya ilişkin resmi ve ayrıntılı bir açıklama henüz paylaşılmış değil.
Bu gelişme, gizlilik odaklı servislerde yalnızca görünen anonimlik katmanına güvenmenin yeterli olmayabileceğini bir kez daha hatırlatıyor. Hide My Email kullananlar açısından en önemli nokta, anonim adreslerin gerçek kimlikten tamamen kopuk kabul edilmemesi ve hesap güvenliğiyle ilgili ek önlemlerin ihmal edilmemesi. Soruna yönelik resmi bir düzeltme gelene kadar kullanıcıların bu özelliğin sunduğu gizlilik düzeyini daha temkinli değerlendirmesinde fayda var.
