Applen iMessagen Androidiin tuonut Nothing Chats osoittautui katastrofiksi – Sisältää vakavia tietoturvaongelmia

Nothing kertoi viime viikolla mielenkiintoisesta Nothing Chats -sovelluksesta, joka toi Androidiin Apple iMessage-yhteensopivuuden. Sovelluksen beetatestaus alkoi viime viikon lopulla, mutta pian tämän jälkeen Nothing Chats osoittautui katastrofiksi tietoturvaongelmien takia.

Yritys itse kommentoi asiaa X-palvelussa. Nothingin mukaan sovellus on poistettu Google Play -kaupasta ja sen lanseerausta on viivästytetty useiden bugien takia. Vaikka syyksi on kerrottu bugit, niin todellisuudessa sovellus vedettiin pois saatavilta todella vakavien tietoturvaongelmien takia.

Muun muassa Texts.com-sivuston kirjoittajan Rida F’kihin sekä X-palvelun käyttäjien tekemän teknisen analyysin perusteella Nothing Chats -sovelluksen palveluntarjoaja Sunbird on jäänyt kiinni valehtelemisesta sen palvelimien kautta reititettyjen viestien salauksesta. Sovelluksen käyttäminen vaatii rekisteröitymisen Apple ID -tunnuksilla Sunbirdin palvelimille, joita ajetaan Mac minissä virtuaalikoneen kautta.

Sunbirdin mukaan palvelimille lähetetyt viestit olisivat päästä päähän salattuja. Nyt on kuitenkin havaittu, että palvelun luomat JSON Web Token -tiedostot lähetetään uudelleen salaamattomina toiselle Sunbird-palvelimelle ilman SSL:ää, jolloin kuka tahansa voi niitä käyttää. Lisäksi viestien salaus puretaan ja tallennetaan sen jälkeen Sunbirdin palvelimille, jolloin hyökkääjällä on aikaa päästä käsiksi viesteihin ennen käyttäjää.

Texts.com osoitti tämän lähettämällä muutaman viestin kahden laitteen välillä ja sieppaamalla JSON Web Token -tiedoston, mikä antaa pääsyn Firebasen reaaliaikaiseen tietokantaan. Tämän jälkeen tarvittiin vain 23 riviä koodia kaikkien käyttäjätietojen ja keskustelujen lataamiseen.

Kyseiset tietoturvaongelmat ovat Sunbirdin syy, eikä niinkään Nothingin. Tietysti Nothing on myös omalta osaltaan mukana tapauksessa tehdessään yhteistyötä epärehellisen yrityksen kanssa.

Lähde: Texts.blog