Andy hat einen neuen Artikel veröffentlicht:
Hab die Funktion nie genutzt, da ich eigene Domains ohne Bedeutung/Zusammenhang zu meiner Familie und mir registriert habe und mit Catchall arbeite; um für jeden Dienst eine eigene individuelle Adresse zu „erzeugen“. Das erhöht außerdem die Login Sicherheit enorm, weil man zum Passwort auch den individuellen Login kennen muss.
Vielleicht nicht ganz so komfortabel wie das Apple System, aber es genügt meinen Ansprüchen an Anonymität; und es kann kein Lapsus, wie in dem Artikel beschrieben, entstehen.
Es läuft eher so, dass alles was vor dem @ steht (egal was) an eine bestimmte Adresse weitergeleitet wird… außer ich habe im Mailsystem einen expliziten Alias eingerichtet (z.B. generation-i@) und dafür eine Mailbox eingerichtet oder eine andere Weiterleitungsadresse definiert. Genauso kann ich bestimmte Namen dann quasi auf eine Blacklist setzen und die Mails werden dann „gedropt “ (ohne Rückmeldung) oder „rejected“ (mit Rückmeldung an den sendenden Server).
Wikipedia kannst das besser erklären als ich:
Catch-All – Wikipedia
So konnte ich schon einige Dienste ausfindig machen, die entweder meine Daten verkauft haben oder nicht vorsichtig genug damit umgegangen sind.
Ist tatsächlich bei Google Mail standardmäßig ähnlich. Wenn du die Adresse "ichbineintollertyp@gmail.com" registrierst, landen auch alle Emails mit "ich.bineintollertyp@gmail.com" in deinem Posteingang. Egal wo du den Punkt hinsetzt und egal, wie viele Punkte du verwendest. Ist spaßig zu schauen, welcher Händler deine Adresse weiter verkauft. 
Ist tatsächlich bei Google Mail standardmäßig ähnlich. Wenn du die Adresse "ichbineintollertyp@gmail.com" registrierst, landen auch alle Emails mit "ich.bineintollertyp@gmail.com" in deinem Posteingang. Egal wo du den Punkt hinsetzt und egal, wie viele Punkte du verwendest. Ist spaßig zu schauen, welcher Händler deine Adresse weiter verkauft.
Das war bei iCloud auch schon immer so, ganz ohne iCloud+ oder hide-my-mail
Ich habe mit Hide my... für jeden einzelnen Login eine separate Mail.
Apple zeigt ja anscheinend gerade, dass sie es diesbezüglich nicht drauf haben 😅 Also bitte nicht wieder instinktiv in den Verteidigungsmodus wechseln.
Mich würde mal interessieren wie es technisch funktioniert, dass man hier an die echte Adresse kommt.
Mich würde mal interessieren wie es technisch funktioniert, dass man hier an die echte Adresse kommt.
Ich denke, wenn die Lücke geschlossen wurde, wird man irgendwann die Lösung dafür finden.
Der Entwickler hatte wenigstens den Anstand, und rückt nicht damit raus. Hätte er auch anders machen können.
Ja. Verstehe ich auch nicht. Zumal das ja schon lange bekannt war. Echt schwach.
Es wird gemutmaßt, dass ggf. "alle" echten Email-Adressen abgeflossen sind:
...weisen darauf hin, dass alle vor 7. Juli eingerichteten Alias-Adressen aufgedeckt worden sein können....
Da bin ich ja mal gespannt, wann die Dienste reagieren, bei denen das von einem genutzt wird. Bei mir sind das aktuell
Alle VOR dem 7. Juli eingerichtet
Das Thema wurde heißer gekocht, als es gegessen wurde.
Denn, wie auch der heise Artikel sagt, war die echte E-Mail nur ersichtlich, wenn zuvor eine als Spam gesendete E-Mail vom Server als Spam abgelehnt und zurück geschickt wurde. Da hatte der Nutzer keinen Einfluss drauf, und das war definitiv ein scheiß Bug, der hätte viel schneller (vor einem Jahr) behoben sein müssen… Aber es war eben, wie man zuerst dank Übersetzungsfehler hier gelesen hat, kein generelles Problem, dass man einfach die echte E-Mail Adresse sehen konnte. Das hätte ich in allen Berichterstattungen früher für wünschenswert gehalten.
Und Deine E-Mail konnte auch nur aufgedeckt sein, wenn Jemand das mit dem Spam vor dem 07. Juli bei Dir gemacht hat. Jetzt geht es nicht mehr, auch nicht bei Adressen, die vor dem 07. Juli erstellt wurden. Nur, wenn jemand diesen „Angriff“ vor dem 07. Juli gemacht hat.
Ich nutze für jede Anmeldung eine andere Adresse.
Ich nutze für jede Anmeldung eine andere Adresse.
395 Services - Wow! bei meine 48 sind schon genug "Leichen" drin...
Nun ja. Für jeden einzelnen Onlineshop, jede Anmeldung irgendwo, jede Kommentarspalte. Einfach komplett restlos überall eine einzige, identifizierbare Adresse.
Aber es war eben, wie man zuerst dank Übersetzungsfehler hier gelesen hat, kein generelles Problem, dass man einfach die echte E-Mail Adresse sehen konnte. Das hätte ich in allen Berichterstattungen früher für wünschenswert gehalten.
Ist es nicht immer so, dass beim Aufdecken von Sicherheitslücken keine Details vorab genannt werden? Zum Schutze der Nutzer.
Klar. Das stimmt. Ist ja auch richtig so.
Aber es wurde ja erst ein Jahr nach Meldung publik. Und irgendwo (ich weiß nicht, ob es in der New York Times, Bloomberg oder so war) habe ich bei der anfänglichen Berichterstattung gelesen, dass es ein Spam-Server-Abweisungsproblem war.
Aber es wurde ja erst ein Jahr nach Meldung publik.
Weil sie es Apple gemeldet haben - und nach einem Jahr immer noch nichts unternommen wurde, ging man damit mal mehr in die Öffentlichkeit.
Der zeitliche Ablauf laut Murphy:
- Juni 2025: Meldung der Lücke an Apple, inklusive Reproduktionsschritten
- März 2026: Apple sagt eine Behebung zu
- Die zugesagte Behebung bleibt aus; Apple bittet Murphy, das Problem bis zur Lösung nicht öffentlich zu machen, und kündigt einen neuen Fix für Juni 2026 an
- Auch dieser Termin verstreicht ohne sichtbare Korrektur
Weil sich der Fix über mehr als ein Jahr verzögert, hat sich Murphy entschieden, die Existenz der Lücke jetzt publik zu machen – allerdings ohne die konkrete technische Vorgehensweise offenzulegen, um einen Missbrauch nicht zu erleichtern. Auch 404 Media, die die Lücke unabhängig verifiziert haben, halten sich mit technischen Details bewusst zurück.
Allein schon der Zeitraum Juni bis März ist eigentlich schon zu lange, finde ich.
Ja, da bin ich bei dir. Das meinte ich auch nicht.
Bei der Meldung in den Medien jetzt wurde schon seit Beginn an (wie gesagt, NYT oder Bloomberg) geschrieben, dass es nur ging, indem man eine Spam Abweisung vom Server provoziert hatte.
Das wurde hier in den deutschen Medien nirgendwo geschrieben, sodass hier alle dachten, Hide-My hätte ein generelles Sicherheitsproblem.
Du hast noch kein Benutzerkonto auf unserer Seite? Registriere dich kostenlos und nimm an unserer Community teil!
