Почтовый клиент Evolution Mail, являющийся частью проекта GNOME, недавно оказался в центре внимания из-за выявленных проблем с конфиденциальностью пользователей. Системный администратор Майк Кардвелл, обнаруживший серьезный недостаток в защите приватности, публично заявил о нарушениях, что вызвало резкую реакцию со стороны разработчиков GNOME и привело к бурной дискуссии внутри сообщества. Суть конфликта заключается в том, что Evolution Mail допускает утечки пользовательских данных через механизм DNS prefetching, который позволяет автоматически разрешать адреса доменов без явного согласия пользователя. Эта функция, изначально предназначенная для улучшения скорости загрузки контента, в данном случае стала уязвимостью, позволяющей отправителям отслеживать, когда конкретный пользователь открыл письмо, а также получать информацию о его DNS-сервере. По словам Кардвелла, при отключении настройки загрузки удаленного контента, которая теоретически должна блокировать такие запросы, браузерный движок WebKitGTK продолжает выполнять DNS запросы без уведомления программы Evolution.
Отсутствие передачи сигнала WebPage::send-request в WebKit приводит к тому, что почтовый клиент не может эффективно контролировать эти «предварительные» запросы, что нарушает принципы конфиденциальности пользователей. Разработчики Evolution, возглавляемые Миланом Храхой, оправдывались тем, что источник ошибки находится в сторонней библиотеке WebKit, и исправлять проблему следует именно там. Они утверждали, что приложения зависят от внешних компонентов и не должны брать на себя исправление всех уязвимостей напрямую. Такой подход вызвал у Кардвелла сильное раздражение, так как он воспринимал отказ GNOME признавать проблему как безответственное отношение к безопасности пользователей. Он предложил несколько путей решения: информировать пользователей о рисках, останавливать распространение уязвимого клиента, форкать библиотеку для исправления или переключиться на альтернативный движок.
Конфликт усугубился после того, как Кардвелл обнаружил еще более серьезную проблему с использованием HTML-тега с атрибутом rel=preconnect, что раскрывает реальный IP-адрес пользователя, а не только DNS-сервера. Он включил эту проверку в свой инструмент Email Privacy Tester, созданный для выявления подобных рисков в почтовых клиентах. Поведение GNOME-разработчиков на этом фоне было воспринято Кардвеллом как «пассивно-агрессивное» нежелание решать проблему и готовность «отпирать глаза» пользователям вместо прямого исправления. Один из разработчиков публично обвинил его в «клевете на проект», «чрезмерных требованиях» и в нанесении вреда репутации Evolution. В ответ Кардвелл подчеркнул необходимость прозрачности и приоритета защиты конфиденциальности пользователей, особенно в Linux-среде, где внимание к приватности традиционно высоко ценится.
Ситуация дополнительно осложнилась тем, что поток обсуждений был заблокирован, что вызвало критику в адрес управления коммуникацией в проекте и нежелания воспринимать конструктивную критику. Сам баг в WebKit был зафиксирован еще в августе 2023 года и до сих пор открыт, что подчеркивает сложности быстрого реагирования на проблемы безопасности в крупных OSS-проектах с множеством зависимостей. Данная история поднимает важные вопросы о распределении ответственности между разработчиками приложений и библиотек, а также о том, как проекты должны работать с сообществом и откликами по безопасности. Для пользователей Evolution Mail и других клиентов на базе WebKitGTK становится очевидным риск непреднамеренной утечки информации, что может негативно сказаться на доверии к программному обеспечению. В условиях постоянного роста угроз кибербезопасности и усиливающегося внимания к защите данных, инциденты такого рода напоминают о необходимости системного подхода к вопросам приватности еще на этапе разработки и поддержки.
