セキュリティ上の懸念により、iMessage のバージョンは Play ストアから削除されていません

2023 年 11 月 18 日

同社が今週初めにリリースした iMessage クローンである Nothing Chats は、Google Play ストアから削除されていません。 正式な理由は「多数のバグ」であり、不特定の期間を経て再度リリースするまでに修正する時間が必要だという。

しかし、Nothing が言うように、アプリが削除されたのは「バグ」のためではなく、いくつかの明らかなセキュリティ問題のためであるという考えを裏付ける十分な証拠があります。

による包括的なテクニカル分析によると、 Texts.com 著者 レダ・ファキ そしてツイッターユーザーも @バトゥハン そして @1 コナン・エドグワNothingのサービスプロバイダーであるSunbirdが、サーバーを経由してルーティングされるメッセージのエンドツーエンド暗号化の性質について嘘をついていたことが発覚した。

以前に明らかになったように、Nothing Chats を使用するためにサインアップするには、仮想マシン上で実行されている Mac mini で実行されている Apple ID を使用して Sunbird のサーバーに歌う必要があります。 サンバードによれば、サーバーに送信されるメッセージは暗号化されているという。 ただし、上記の作成者が発見したように、サービスが生成する JSON Web トークンまたは JWT は、暗号化されずに SSL を使用せずに別の Sunbird サーバーに送り返されるため、攻撃者によって傍受される可能性があります。

さらに、メッセージは復号化されてから Sunbird のサーバーに保存されるため、ユーザーがアクセスする前に攻撃者にアクセスする時間が与えられます。 Texts.com は、2 つのデバイス間でメッセージを送信し、JWT をインターセプトして、リアルタイムで Firebase データベースにアクセスできるようにすることで、これを実証しました。 そこからは、23 行のコードだけですべてのユーザー情報と会話をダウンロードできます。

著者Aとしては Webサイト コードに関する十分な知識を持つユーザーは、2 つのデバイス間でメッセージを送信し、そのうちの 1 つが Nothing Chats アプリケーションを実行しているときに、プライベート メッセージを傍受できます。

はっきり言っておきますが、プライバシー問題は直接 Sunbird のせいです。 しかし、この会社と協力することを選択したことによって、何も関与することはありませんでした。 しかも、この重大事態を「ミス」として扱うのは不誠実極まりない。

Nothing がアプリをストアに戻すことを決定したときに、サービスがどのような状態で再表示されるのかを確認する必要があります。 言うまでもなく、たとえ暗号化されていたとしても、そもそも Apple ID を使用してサードパーティ サービスのサーバーにログインすべきではありません。 しかし、Apple が RCS サポートを発表した今では特に無意味に思えます。

ソース • 経由