Η Nothing αποσύρει το Nothing Chats από το Play Store

Η εφαρμογή σχεδιάστηκε για να επιτρέπει στους χρήστες του Nothing Phone 2 να επικοινωνούν μέσω iMessage. Ωστόσο, αυτό απαιτούσε από τους χρήστες να παραχωρήσουν στην Sunbird -τον πάροχο της πλατφόρμας- πρόσβαση στους λογαριασμούς τους στο iCloud στους Mac Mini Servers της Sunbird, μια πρακτική που εγείρει ανησυχίες για την ασφάλεια.

Η απόφαση να αποσυρθεί η εφαρμογή ήρθε μετά από μια δημοσίευση στο blog του Texts.com που αποκάλυψε ότι τα μηνύματα που αποστέλλονται μέσω του συστήματος της Sunbird δεν ήταν κρυπτογραφημένα από άκρο σε άκρο και θα μπορούσαν εύκολα να παραβιαστούν. Η εφαρμογή είχε κυκλοφορήσει σε beta έκδοση μόλις την προηγούμενη ημέρα.

 

Ο Dylan Roussel, αρθογράφος του ιστότοπου, ανακάλυψε ότι η μέθοδος της Sunbird περιελάμβανε την αποκρυπτογράφηση των μηνυμάτων και τη μετάδοσή τους μέσω HTTP σε έναν server στο cloud της Firebase, όπου αποθηκεύονταν σε μη κρυπτογραφημένο απλό κείμενο. Ο Roussel αποκάλυψε επίσης ότι η Sunbird είχε πρόσβαση σε αυτά τα μηνύματα, καθώς καταγράφονταν ως σφάλματα χρησιμοποιώντας το Sentry, μια debugging υπηρεσία.

Η Sunbird υπερασπίστηκε τις πρακτικές της, δηλώνοντας ότι το HTTP χρησιμοποιήθηκε μόνο για το αρχικό αίτημα από την εφαρμογή για να ειδοποιήσει το back-end για μια επερχόμενη σύνδεση iMessage. Η δήλωση αυτή έγινε ως απάντηση στην ανάρτηση στο blog του Texts.com, η οποία ανέδειξε την ευπάθεια της εφαρμογής.

Σύμφωνα με την Texts.com, ένας κακόβουλος χρήστης που μπορεί να εγγραφεί στη βάση δεδομένων πραγματικού χρόνου της Firebase θα μπορούσε να έχει πρόσβαση στα μηνύματα είτε πριν είτε την ίδια στιγμή που ο χρήστης τα διαβάζει. Το σχετικό άρθρο σημειώνει επίσης ότι η Sunbird μπορούσε να δει τα μηνύματα στο Sentry dashboard, σε αντίθεση με τον ισχυρισμό της Nothing στις "Συχνές Ερωτήσεις" ότι κανείς στην εταιρεία δεν μπορούσε να έχει πρόσβαση στα απεσταλμένα ή ληφθέντα μηνύματα.

Μέχρι στιγμής η Nothing δεν έχει σχολιάσει το θέμα ούτε το λόγο αφαίρεσης του Nothing Chats από το Play Store.

• Nothing