Ο κλώνος του Nothing’s iMessage αποσύρθηκε από το Play Store για λόγους ασφαλείας

Το

Nothing Chats

, ο κλώνος iMessage που κυκλοφόρησε η εταιρεία νωρίτερα αυτή την εβδομάδα, αποσύρθηκε από το

Google Play Store

. Το επίσημο σκεπτικό είναι «αρκετά σφάλματα» που η εταιρεία χρειάζεται χρόνο για να διορθώσει πριν το λανσάρει ξανά μετά από αόριστο χρονικό διάστημα.

Καταργήσαμε την

beta

του Nothing Chats από το Play Store και θα καθυστερήσουμε την κυκλοφορία μέχρι νεωτέρας για να συνεργαστούμε με το Sunbird για να διορθώσουμε αρκετά σφάλματα.

Ζητούμε συγγνώμη για την καθυστέρηση και θα πράξουμε σωστά από τους χρήστες μας.

– Τίποτα τίποτα)

18 Νοεμβρίου 2023

Ωστόσο, υπάρχουν αρκετά στοιχεία που υποστηρίζουν την ιδέα ότι η εφαρμογή αποσύρθηκε όχι λόγω «σφαλμάτων», όπως το θέτει το Nothing, αλλά μάλλον λόγω κάποιων κραυγαλέων ζητημάτων ασφαλείας.

Σύμφωνα με ενδελεχή τεχνική ανάλυση από

Texts.com

συγγραφέας

Rida F’kih

και χρήστες του Twitter

@batuhan

και

@1ConanEdogowa

Ο πάροχος υπηρεσιών της Nothing, Sunbird, συνελήφθη να λέει ψέματα για την κρυπτογραφημένη από άκρο σε άκρο φύση των μηνυμάτων που δρομολογούνται μέσω των διακομιστών του.

Όπως αποκαλύφθηκε προηγουμένως, η εγγραφή για τη χρήση του Nothing Chats απαιτούσε να τραγουδάτε σε διακομιστές Sunbird χρησιμοποιώντας το Apple ID σας, οι οποίοι εκτελούνταν σε Mac

mini

με εικονική μηχανή. Τα μηνύματα που αποστέλλονται στους διακομιστές είναι κρυπτογραφημένα, όπως ισχυρίζεται η Sunbird. Ωστόσο, όπως ανακάλυψαν οι προαναφερθέντες συγγραφείς, τα JSON Web Tokens ή JWT που δημιουργεί η υπηρεσία αποστέλλονται ξανά μη κρυπτογραφημένα σε άλλο διακομιστή Sunbird χωρίς SSL, επιτρέποντάς τους να υποκλαπούν από έναν εισβολέα.

Η ομάδα κειμένων έριξε μια γρήγορη ματιά στην τεχνολογία πίσω από τις συνομιλίες και ανακάλυψε ότι είναι εξαιρετικά ανασφαλής

δεν χρησιμοποιεί καν HTTPS, τα διαπιστευτήρια αποστέλλονται μέσω HTTP απλού κειμένου

Το backend εκτελεί μια παρουσία του BlueBubbles, το οποίο δεν υποστηρίζει ακόμη κρυπτογράφηση από άκρο σε άκρο

pic.twitter.com/IcWyIbKE86

— Kishan Bagaria (@KishanBagaria)

17 Νοεμβρίου 2023

Επιπλέον, τα μηνύματα αποκρυπτογραφούνται και στη συνέχεια αποθηκεύονται στους διακομιστές Sunbird, επιτρέποντας στον εισβολέα χρόνο να έχει πρόσβαση σε αυτά πριν το κάνει ο χρήστης. Το Texts.com το απέδειξε στέλνοντας μερικά μηνύματα μεταξύ δύο συσκευών και παρεμποδίζοντας το JWT, το οποίο τους δίνει πρόσβαση στη βάση δεδομένων του Firebase σε πραγματικό χρόνο. Από εκείνο το σημείο, το μόνο που χρειάστηκαν ήταν 23 γραμμές κώδικα για τη λήψη όλων των πληροφοριών και των συνομιλιών των χρηστών.

Ο συγγραφέας έδωσε επίσης α

δικτυακός τόπος

όπου ένας χρήστης με επαρκή γνώση του κώδικα θα μπορεί να υποκλέψει τα δικά του μηνύματα όταν στέλνει μηνύματα μεταξύ δύο συσκευών, η μία από τις οποίες εκτελεί την εφαρμογή Nothing Chats.

@ridafkih


@batuhan


@1ConanEdogawa

έψαξα λίγο πιο πέρα ​​και ανακάλυψε ότι όλα τα εισερχόμενα κείμενα/μέσα όχι μόνο αποθηκεύονται μη κρυπτογραφημένα αλλά και όλα τα εξερχόμενα κείμενα διαρρέουν σε έναν διακομιστή φύλαξης σε απλό κείμενο

pic.twitter.com/GOqiatPNaE

— Kishan Bagaria (@KishanBagaria)

18 Νοεμβρίου 2023

Για να είμαστε σαφείς, το ζήτημα της ιδιωτικής ζωής είναι ευθέως λάθος της Sunbird. Ωστόσο, επιλέγοντας να συνεργαστεί με την εταιρεία, η Nothing έχει επίσης εμπλακεί στο θέμα. Επιπλέον, η αντιμετώπιση αυτής της μάλλον σοβαρής κατάστασης ως «ζωρί» ήταν εξαιρετικά ανέντιμη.

Θα πρέπει να δούμε σε ποια κατάσταση θα εμφανιστεί ξανά η υπηρεσία όταν το Nothing αποφασίσει να επαναφέρει την εφαρμογή στο κατάστημα. Είναι αυτονόητο ότι πιθανώς δεν θα έπρεπε να συνδέεστε σε διακομιστές μιας υπηρεσίας τρίτου μέρους με το Apple ID σας, ακόμα κι αν ήταν κρυπτογραφημένο. Αλλά φαίνεται ιδιαίτερα άσκοπο τώρα με την Apple να ανακοινώνει την υποστήριξη RCS.

Πηγή

•

Μέσω