Напоследък поверителността на данните на потребителите се превърна в приоритет за много технологични компании. Apple, която е известна със строгия си подход към защитата на личните данни на потребителите въведе функция за скриване на MAC адресите на Wi-Fi модулите в своите устройства с цел повишаване на анонимността. Според доклад, публикуван в технологичния портал Ars Technica обаче, тази функция работи неправилно от цели 3 години.

Функцията за скриване на MAC адресът беше въведена в iOS 8 през 2014 гoдина, за да осигури допълнителна анонимност на потребителите в Wi-Fi мрежи. MAC адресът е уникален идентификатор, свързан с хардуера на дадено устройство, който може да се използва от трети страни за проследяване на движението на потребителя. Планът на Apple беше да замени MAC адреса със случайни стойности за всяка Wi-Fi мрежа, за да помогне за решаването на този проблем.

Както се оказва обаче, функцията не работи правилно от пускането на iOS 14, което се случи през 2020 година. iPhone-ите наистина изпращаха случаен Wi-Fi MAC адрес към точката за достъп. Ако се задълбочите обаче, се оказва, че истинският MAC адрес все още се е изпращал на всички други свързани устройства, просто в друго поле за заявка. Изследователи в областта на сигурността публикуваха кратък видеоклип, показващ Mac, който използва софтуера Wireshark, за да следи трафика в локалната мрежа, към която е свързан. Когато iPhone, работещ с iOS версия по-стара от 17.1 се свързва към мрежата, той изпраща своя истински Wi-Fi MAC адрес към порт 5353/UDP.

Това означава, че през последните 3 години потребителите на iPhone са били потенциално уязвими за проследяване през Wi-Fi мрежи от трети страни. Грешката във функцията е открита от независими изследователи, които са я докладвали на Apple.

„От самото си начало тази функция беше безполезна заради този бъг. Не можехме да попречим на устройствата да изпращат тези заявки за откриване, дори с помощта на VPN и дори в режим на заключване (Lockdown Mode)..“

отбелязва един от изследователите

Миналата сряда Apple пусна iOS 17.1 и сред различните поправки имаше кръпка за уязвимост, означена като „CVE-2023-42846“, която не позволяваше на функцията за поверителност да работи с подправени MAC адреси. Apple не обясни как такъв елементарен бъг е останал незабелязан толкова дълго време. В изявление, публикувано от компанията в сряда се казва само, че поправката работи чрез „премахване на уязвимия код“.

Инцидентът е ясно напомняне за това колко е важно непрекъснато да се тестват и наблюдават функциите за сигурност и защита на личните данни в продуктите, предназначени за широк кръг потребители. Той също така подчертава значението на открития диалог между компаниите, изследователите и потребителите относно неприкосновеността на личния живот и сигурността на данните.