شبیه سازی iMessage هیچ چیز به دلیل نگرانی های امنیتی از فروشگاه Play خارج شد

به گزارش در باره خبر و به نقل از گسمارنا Nothing Chats، شبیه سازی iMessage که این شرکت در اوایل این هفته راه اندازی کرد، از فروشگاه Google Play خارج شده است. استدلال رسمی “چند اشکال” است که شرکت برای رفع آنها قبل از راه اندازی مجدد آن پس از مدت زمان نامحدود به زمان نیاز دارد.

با این حال، شواهد کافی برای حمایت از این ایده وجود دارد که برنامه نه به دلیل “اشکالات”، همانطور که Nothing آن را بیان می کند، بلکه به دلیل برخی مسائل امنیتی آشکار وجود دارد.

بر اساس یک تحلیل فنی کامل توسط نویسنده Texts.com، Rida F’kih و کاربران توییتر @batuhan و @۱ConanEdogowa، Sunbird ارائه‌دهنده خدمات Nothing در مورد ماهیت رمزگذاری شده سرتاسر پیام‌هایی که از طریق سرورهایش هدایت می‌شوند، دروغ می‌گوید.

همانطور که قبلاً فاش شد، ثبت نام برای استفاده از Nothing Chats نیاز به آواز خواندن در سرورهای Sunbird با استفاده از Apple ID خود داشت که روی Mac mini با ماشین مجازی اجرا می شد. همانطور که Sunbird ادعا می کند، پیام های ارسال شده به سرورها رمزگذاری شده است. با این حال، همانطور که نویسندگان فوق متوجه شدند، توکن‌های وب JSON یا JWT که سرویس تولید می‌کند دوباره بدون رمزگذاری به سرور Sunbird دیگر بدون SSL ارسال می‌شود و به آنها اجازه می‌دهد توسط یک مهاجم رهگیری شوند.

علاوه بر این، پیام‌ها رمزگشایی می‌شوند و سپس در سرورهای Sunbird ذخیره می‌شوند و به مهاجم اجازه می‌دهند تا قبل از دسترسی کاربر به آنها دسترسی داشته باشد. Texts.com این را با ارسال چند پیام بین دو دستگاه و رهگیری JWT نشان داد که به آنها امکان دسترسی به پایگاه داده بیدرنگ Firebase را می دهد. از آن زمان، تنها ۲۳ خط کد برای دانلود تمام اطلاعات و مکالمات کاربر نیاز بود.

نویسنده همچنین وب سایتی را ارائه کرده است که در آن کاربر با دانش کافی از کد می تواند پیام های خود را هنگام ارسال پیام بین دو دستگاه، که یکی از آنها برنامه Nothing Chats را اجرا می کند، رهگیری کند.