L’importante faille de sécurité découverte par des chercheurs dans la fonction « Masquer mon adresse e-mail » vient d’être corrigée par Apple. Pour rappel, cette fonctionnalité intégrée à l’abonnement payant iCloud+ permet aux utilisateurs de générer des adresses e-mail anonymes et uniques pour s’inscrire sur des sites Web ou des services en ligne sans avoir à divulguer leur véritable adresse e-mail. Un système imaginé à l’origine pour protéger la vie privée.
Malheureusement, la fonctionnalité n’était pas aussi sécurisée qu’Apple voulait bien le laisser entendre.
Après un an d’inaction, Apple corrige la faille
Durant plus d’un an, une importante faille découverte par des chercheurs en sécurité a perduré. Celle-ci avait pourtant bien été signalée à Apple, mais la firme de Cupertino n’a jamais réagi ni proposé de correctif. Ce n’est qu’après avoir été mis au pied du mur, lorsque les chercheurs ont révélé publiquement l’existence de cette faille, que l’entreprise californienne a finalement déployé un correctif.
Si jusqu’à présent aucun détail quant à l’exploitation de cette vulnérabilité n’avait filtré, 404 media, qui avait rapporté l’information, en dit désormais un peu plus. C’est a priori lorsqu’un message envoyé à un utilisateur a été rejeté dans les spams qu’il était possible de faire apparaître l’adresse e-mail originale dans les journaux de courrier électronique.
« Nous ne savons pas à quelle fréquence des adresses e-mail cachées ont été divulguées dans les logs de courrier électronique. Pour de nombreux grands hébergeurs de messagerie, la fuite a été déclenchée simplement par le rejet automatique d’un e-mail comme spam, même s’il s’agissait d’un message légitime. De tels e-mails ne sont probablement pas arrivés dans votre boîte de réception, vous ne pouvez donc pas consulter votre dossier spam pour savoir si vous avez été affecté » a indiqué Tyler Murphy, le chercheur en sécurité à l’origine de la découverte.
Bien qu’Apple ait à présent corrigé cette brèche, les logs d’email antérieurs à cette correction (déployée le 7 juillet dernier) pourraient toujours dévoiler les adresses e-mail réelles des utilisateurs de « Masquer mon adresse e-mail ».
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : 404 Media
