Android için iMessage uygulaması Hiçbir Şey Sohbetleri bir gizlilik kabusu

Sunbird yaklaşık bir yıldır Android’de iMessage desteği sözü veriyordu ancak şirket her zaman biraz belirsiz görünüyordu. Artık Sunbird üzerine kurulu Hiçbir Şey Sohbetleri’nin kullanıma sunulmasıyla birlikte gizlilik kabusu da gerçeğe dönüştü – yalnızca uygulamada değil hayır Söz verildiği gibi uçtan uca şifrelenmiştir, ancak diğer kullanıcıların resim dosyaları da öyle Güzel Düz metin olarak erişmek kolaydır.

Sunbird’ün ve dolayısıyla Nothing Chats’in vaadi, Android’e iMessage desteği getirmektir. Bu, kullanıcıların oturum açmayı bir Mac sunucu grubu üzerinden yönlendiren uygulama aracılığıyla Apple ID’leriyle oturum açmalarını zorunlu kılarak gerçekleştirilir. Bu benzersiz bir yaklaşım değil ancak buradaki en büyük fark, Sunbird’ün tüm süreç boyunca uçtan uca şifrelemenin korunduğunu iddia ederek büyük başarı elde etmiş olmasıdır.

Güneş kuşu üzerinde İnternet sitesi Doğrudan şunu söylüyor:

Sunbird’ün sunucuları güvenli, emniyetli ve özel bir mesajlaşma ortamı sağlamak amacıyla kullanıcı verilerini saklamaz. Gizli, uçtan uca şifrelenmiş mesajlaşmayla Sunbird tamamen güvenli ve özeldir.

Şu anda mevcut olmayan Android ve iMessage arasına şifreleme ekleyerek Sunbird, Android kullanıcılarına birleşik ve güvenli bir mesajlaşma deneyimi sağlayan türünün ilk örneğidir.

Bunu A’da tekrarlayan hiçbir şey yok Açılış sayfası Hiçbir şey şunu söyleyerek sohbet etmiyor:

…Hiçbir Sohbet Sunbird platformunda oluşturulmaz ve tüm sohbet mesajları uçtan uca şifrelenir; bu, gönderdiğiniz ve aldığınız mesajlara ne bizim ne de Sunbird’ün erişemeyeceği anlamına gelir.

Ama bu doğru değil.

Endişe verici yeni bulgular, kullanıcı verilerine düz metin olarak erişilebildiğinden Sunbird ve Hiçbir Şey Sohbetlerinin aslında tamamen uçtan uca şifrelenmediğini ortaya koyuyor.

“Wukko” Twitter/X’te yayınlandı Hiçbir Şey Sohbetleri, Hiçbir Şey Sohbetleri’nin, kullanıcının fotoğrafları da dahil olmak üzere tüm medya eklerini, bu eklerin bağlantılarını düz metin olarak görünür şekilde Sentry’ye gönderdiğini belirlemiştir. Ayrıca tüm veriler Firebase aracılığıyla gönderilir ve saklanır ve tamamen şifrelenmez.

9to5Google Wukko’nun sonuçları bağımsız olarak doğrulanabilir.

Dylan Russell’ın araştırmasında, bir kullanıcının aktarım sırasında güvenli olmayan JSON Web Tokens (JWT) kullanarak kimlik doğrulaması yaptıktan sonra, Nothing Chat’in Firebase’ine erişebildiğini ve diğer kullanıcılardan gönderilen mesaj ve dosyaları görebildiğini gördük. Gerçek zamanda Ve düz metin olarak. Özellikle vCard’ların erişilebilirliğine dikkat çekiyor çünkü bunlar doğrudan kullanıcı adlarını, telefon numaralarını, e-posta adreslerini ve bazen daha fazla kişisel veriyi içeriyor.

Bundan bahsediyor Şu anda 630.000’den fazla medya dosyası depolanıyor Resimler, videolar, PDF’ler, sesler ve daha fazlasını içeren Firebase aracılığıyla Sunbird tarafından desteklenmektedir.

Dylan bulgularını ayrıca şöyle açıklıyor: Twitter/X’teki konu.

İçerideki insanlar Texts.com Bu süreci de ayrıntılı olarak inceledik.

Bir blog yazısında, bu bilgilerin indirilme sürecini otomatikleştirmek için çok kısa miktarda kod gerektiği belirtildi. Yalnızca veritabanı için gönderilen iMessage mesajının bir demosu, aşağıda gösterildiği gibi “uçtan uca şifrelenmiş” metnin de düz metin olarak görüntülendiğini gösterir. Kavramın bir kanıtı ve GitHub’da yayınlandı Her şeyin nasıl çalıştığını göstermek için.

TAMAM.

Bunu ilk olarak, daha iyi bir terim olmadığı için, gizlilik kabusu olarak 17 Kasım’ın sonlarında keşfettik ve bu durumun son derece hassas doğası nedeniyle hemen hiçbir şey olmadığı konusunda bilgilendirildik (şirketin güvenlik sorunlarıyla ilgili hiçbir iletişim noktası olmadığı için PR yoluyla). güvenlik açığı – Kullanıcı verileri burada tam anlamıyla tehlikededir ve tamamen güvenli değildir. Bir NIL sözcüsü e-postamıza hızlı bir şekilde yanıt verdi (ve bu da yalnızca genel, hazır bir yanıt değildi), ancak sonuçların zamanlaması göz önüne alındığında düzeltmeyle ilgili bir açıklama veya ayrıntı sağlayamadı.

Ancak iletişim kurduğumuzda hiçbir şey gibi görünmüyordu ve bir güneş kuşu Belki Play Store’da uygulama indirme işlemleri engellendi. Hiçbiri Sohbetler Play Store aramasında görünmüyor ve Play Store’a gittiğinizde Menü basittir Birden fazla Hiçbir Şey Telefonu (2) ünitesinde, uygulama yukarıda gösterildiği gibi “Ülkenizde kullanılamıyor” olarak listeleniyor ve indirilemiyor. Bu durum, uygulamanın dün öğleden sonra ET civarında kullanıcılara sunulması nedeniyle son birkaç saat içinde değişmiş gibi görünüyor.

9to5Google Take

Gizlilik sorunları söz konusu olduğunda bu çok kötü.

Görüntü dosyalarına yalnızca erişmekle kalmaz, aynı zamanda onlara da erişilebilir. Her şey Orada bir yerde ve bulunması şaşırtıcı derecede kolay. Bu, gerçekten özel verileriniz için hayal edilemeyecek kadar korkutucudur ve birisinin Apple Kimliğinize erişmesi konusunda herkesin hissettiği endişenin ötesine geçer.

Her ne kadar bu, altyapıyı oluştururken ve Hiçbir Şey Sohbetlerini uygulamaya koyarken sonunda Sunbird’de gerçekleşecek olsa da, burada herhangi bir şeyin eksikliği endişe verici. Eğer bunun gibi bir güvenlik açığı birden fazla kullanıcı tarafından 24 saatten daha kısa bir sürede bulunabildiyse, bu ortaklığın muhtemelen kurulduğu aylarda nasıl gözden kaçırılamazdı? Peki zamanla daha kötü bir şey mi keşfedilecek?

Bu noktada bunu söylemeye gerek yok, ama sen kesinlikle Hiçbir Şey Sohbetleri veya Sunbird indirilmemelidir.

Dylan Russel Bu makaleye katkıda bulunun.