Провал Nothing Chats: новый мессенджер пришлось удалить через сутки после запуска

Сервис обмена сообщениями Nothing Chats с поддержкой iMessage, недавно выпущенный компанией Nothing, был удален из Google Play. По официальной версии, это связано с «несколькими ошибками», которые разработчикам нужно исправить. Однако есть основания полагать, что настоящей причиной стали серьезные проблемы с безопасностью.

Как выяснили эксперты, поставщик услуг Nothing Chats — компания Sunbird — лжет о том, что использует сквозное шифрование.

Для использования платформы пользователям нужно было авторизоваться через Apple ID на серверах Sunbird, работающих на виртуальной машине. Sunbird утверждает, что сообщения, отправляемые на эти серверы, зашифрованы. Но на самом деле сгенерированные сервисом токены аутентификации передаются на другой сервер компании в незашифрованном виде и без использования SSL. Потенциальному злоумышленнику не составило бы труда перехватить их.

Некоторое время сообщения хранятся на серверах Sunbird, также в открытом виде. Это дает хакеру возможность обдумать стратегию и получить доступ к данным даже раньше, чем это сделает жертва.

Исследование проводили создатели ресурса Texts.com: известный специалист Рида Фких и пользователи платформы X под никами @batuhan и @1ConanEdogowa . Им удалось перехватить токены аутентификации при отправке сообщений между двумя устройствами и получить доступ к базам сервиса всего за 23 строки кода. Фких даже предоставил веб-сайт , где любой желающий может повторить эту процедуру.

Пока неясно, что изменится в мессенджере и когда его можно будет скачать снова. Случай с Nothing Chats еще раз подчеркивает риски, связанные с использованием учетных данных Apple ID для авторизации на сторонних платформах. Тем более сейчас iMessage от самого Apple поддерживает стандарт RCS, который представляется более надежным методом защиты переписки.