Mẫn Nhi
Admin xinh gái
Hide My Email, tính năng được thiết kế để bảo vệ quyền riêng tư bằng cách tạo email ảo khi đăng nhập dịch vụ bên thứ ba của Apple, vừa bị phát hiện có lỗ hổng bảo mật nghiêm trọng làm lộ địa chỉ email thật.
Ảnh: CNET
Đáng chú ý, Murphy cho biết ông đã gửi cảnh báo bảo mật tới Apple từ một năm trước nhưng hãng công nghệ này vẫn chưa tiến hành khắc phục. Trong các thử nghiệm thực tế do ông phối hợp cùng 404Media thực hiện, kết quả cho thấy toàn bộ nỗ lực khai thác lỗi này đều thành công.
"Chúng tôi chưa biết rõ phạm vi đầy đủ của vấn đề. Nhưng trong các thử nghiệm thực tế, 100% địa chỉ email của Hide My Email đều có thể bị khai thác", Murphy chia sẻ.
Tuy nhiên, ông từ chối công bố chi tiết cách thức hoạt động của lỗ hổng vì lo ngại kẻ xấu sẽ lợi dụng để tấn công người dùng.
Chuyên gia này cũng đưa ra khuyến cáo rằng cơ chế của Hide My Email hiện không đảm bảo an toàn và người dùng không nên tin tưởng tuyệt đối vào công cụ này. Apple hiện vẫn chưa đưa ra bất kỳ bình luận nào.
Tuy nhiên, đây không phải lần đầu tiên các giải pháp bảo mật của Apple bị phát hiện hoạt động không đúng như những gì hãng tuyên bố. Theo TechCrunch, vào năm 2022, Apple từng đối mặt với một vụ kiện khi tính năng iPhone Analytics bị phát hiện vẫn âm thầm thu thập thông tin từ App Store, Apple Music, Apple TV, Books và Stocks của người dùng, dù trước đó quảng cáo sẽ dừng hoạt động này khi được kích hoạt.
Đến năm 2023, các nhà nghiên cứu tiếp tục phát hiện tính năng Private Wi-Fi Addresses của hãng cũng gặp lỗi. Dù được giới thiệu là tạo địa chỉ MAC ngẫu nhiên để chặn theo dõi thiết bị khi kết nối Wi-Fi, tính năng này vẫn để lộ địa chỉ MAC thật trong một số trường hợp cụ thể.
Theo Gizmodo, đối với các sự cố bảo mật tương tự, Apple thường chọn cách im lặng và âm thầm sửa lỗi thông qua các bản cập nhật phần mềm thay vì lên tiếng xác nhận công khai trước dư luận.
Ảnh: CNET
100% thử nghiệm đều khai thác thành công
Nhà nghiên cứu bảo mật Tyler Murphy, đồng sáng lập dịch vụ xóa dữ liệu EasyOptOuts tại Mỹ, đã phát hiện ra lỗ hổng này và công bố trên trang 404Media vào ngày 1/7. Theo đó, các website và nền tảng bên thứ ba có thể dễ dàng thu thập được email thật của người dùng, ngay cả khi họ đã kích hoạt tính năng Hide My Email (Ẩn email của tôi).Đáng chú ý, Murphy cho biết ông đã gửi cảnh báo bảo mật tới Apple từ một năm trước nhưng hãng công nghệ này vẫn chưa tiến hành khắc phục. Trong các thử nghiệm thực tế do ông phối hợp cùng 404Media thực hiện, kết quả cho thấy toàn bộ nỗ lực khai thác lỗi này đều thành công.
"Chúng tôi chưa biết rõ phạm vi đầy đủ của vấn đề. Nhưng trong các thử nghiệm thực tế, 100% địa chỉ email của Hide My Email đều có thể bị khai thác", Murphy chia sẻ.
Tuy nhiên, ông từ chối công bố chi tiết cách thức hoạt động của lỗ hổng vì lo ngại kẻ xấu sẽ lợi dụng để tấn công người dùng.
Chuyên gia này cũng đưa ra khuyến cáo rằng cơ chế của Hide My Email hiện không đảm bảo an toàn và người dùng không nên tin tưởng tuyệt đối vào công cụ này. Apple hiện vẫn chưa đưa ra bất kỳ bình luận nào.
Những tính năng bảo mật danh tiếng nhưng không như quảng cáo
Hide My Email được Apple giới thiệu vào tháng 9/2021 cùng với hệ điều hành iOS 15 và iPadOS 15. Theo mô tả từ Apple, tính năng này cho phép người dùng tạo các địa chỉ email ngẫu nhiên để đăng ký tài khoản nhanh, sau đó chuyển tiếp thư về hộp thư chính nhằm bảo mật danh tính và ngăn chặn thư rác.Tuy nhiên, đây không phải lần đầu tiên các giải pháp bảo mật của Apple bị phát hiện hoạt động không đúng như những gì hãng tuyên bố. Theo TechCrunch, vào năm 2022, Apple từng đối mặt với một vụ kiện khi tính năng iPhone Analytics bị phát hiện vẫn âm thầm thu thập thông tin từ App Store, Apple Music, Apple TV, Books và Stocks của người dùng, dù trước đó quảng cáo sẽ dừng hoạt động này khi được kích hoạt.
Đến năm 2023, các nhà nghiên cứu tiếp tục phát hiện tính năng Private Wi-Fi Addresses của hãng cũng gặp lỗi. Dù được giới thiệu là tạo địa chỉ MAC ngẫu nhiên để chặn theo dõi thiết bị khi kết nối Wi-Fi, tính năng này vẫn để lộ địa chỉ MAC thật trong một số trường hợp cụ thể.
Theo Gizmodo, đối với các sự cố bảo mật tương tự, Apple thường chọn cách im lặng và âm thầm sửa lỗi thông qua các bản cập nhật phần mềm thay vì lên tiếng xác nhận công khai trước dư luận.
