このリスクがどれくらい現実的か判断するのは難しいな。詳細がないと、ただの雰囲気から推測するしかない。説明されてることはちょっと怖いかも。でも、ある程度はマジックトリックかもしれない… コックス氏のPoC—「自分が誰か知ってる人に新しいHide-My-Emailのエイリアスを渡したら、Apple IDのメールを教えてくれた」—は主張されてる挙動と一致してるけど、完全に信頼できるわけじゃない。これが「メールエコシステムの仕組み」なのか、隠れた手段で軽減できるのかも。例えば、Appleが自社のインフラからの特権的な視点で攻撃試行を特定できるなら、それが緩やかな影響評価の基礎かもしれない。最近のAmazonのリスク評価を思い出す: 「そう、悪いけど、調べたら君以外にその機能をその使い方で使った人はゼロだったよ。」あるいは、根本的なトレードオフが必要な問題なのかもしれない。エイリアスを自社の「private.icloud.com」ドメインに分ける動きに関係してるかも。コックス氏が404 Mediaの記事でも触れてるけど、「インパクトジャーナリズム」だね。で、雰囲気しかないから、研究者がAppleに送ったメールの判断が気になる: > 「問題が解決するまでHide My Emailの新規販売を終了するのが、リスクのある顧客を制限する効果的な方法のようです。それは選択肢ですか？」マーフィーは返信した。あれは文脈を無視した皮肉的なフラストレーションの瞬間だったことを願う… Hide My Emailは、もっと大きなiCloud+製品の小さなボーナス機能として「売られてる」。でも、引用された内容はちょっとチキンリトルっぽい… 以前、知ってる企業がCRITICAL SECURITY HOLEのせいで全ての販売を停止し（そして口止め料を払え）って要求されたことを思い出す: パスワードフィールドにパスワードを入力して、ブラウザでF12を押して、$(“#pw-input”).valueと入力すれば、その内容にアクセスできる… もしその欠陥が根本的な製品変更を必要とするものであれば—このドメイン分離のような—安全に大規模に移行するのに1年かかるのは全然おかしくない。特にその間に効果的な軽減策を特定できたなら。まあ、もしかしたら本当に怠慢なのかもしれない…