נראה שגשר ה-iMessage של שום דבר אינו מוצפן כלל

למרות שהמייסד של חברת Nothing טען ששירות הצ'אט שלה שמגשר על iMessage יהיה מוצפן מקצה לקצה, נראה שקוד המקור חושף את ההיפך.

היוצרים של Nothing Phone (2) הכריזו על Nothing Chatsב-14 בנובמבר. זהו שירות המאפשר למשתמשי אנדרואיד לשלוח הודעות בבועות כחולות בסגנון אייפון - בהנחה שהם רוצים להיכנס לשרת מרוחק עם Apple ID שלהם.

שום דבר לא דורש מהמשתמשים טלפון (2) כדי לגשת ל-Nothing Chats. הטכנולוגיה דמוית iMessage היאמ-Sunbird, חברת טכנולוגיה שבסיסה בניו יורק, ומשולבת באפליקציית Nothing messages.

ביום שישי, מייסד Texts.com צייץ שהצוות שלו "הסתכל במהירות" על הקוד שמאחורי Nothing Chats ומצא שהוא לא מאובטח.

"זה אפילו לא משתמש ב-HTTPS, אישורים נשלחים באמצעות HTTP בטקסט רגיל", אמר קישאן באגריה.

חשיפת נתונים עם פרוטוקולים לא מאובטחים

החשש העיקרי הוא היעדר HTTPS (Hypertext Transfer Protocol Secure) בפרוטוקולי התקשורת של השירות. HTTPS, תקן אבטחה בסיסי לתקשורת אינטרנט מודרנית, מצפין נתונים בין מכשיר המשתמש לשרת.

היעדר הצפנה זו פירושו שמידע רגיש, כולל אישורי כניסה, נשלח דרך האינטרנט באמצעות HTTP בטקסט רגיל. השימוש בשיטה זו אינו מאובטח מכיוון שהוא מאפשר יירוט קל יחסית של נתונים על ידי צדדים שלישיים, במיוחד ברשתות לא מאובטחות.

החקירה העלתה ש-Nothing Chats משתמש ב-backend המופעל על ידי BlueBubbles, אשירות הודעותידוע בחסרונושל הצפנה מקצה לקצה. הצפנה מקצה לקצה היא תכונה קריטית בהעברת הודעות מאובטחת, המבטיחה שרק המשתמשים המתקשרים יכולים לקרוא את ההודעות.

היעדר הצפנה זו פירושו שניתן לגשת להודעות על ידי ספק השירות או ליירט על ידי גורמים חיצוניים, דבר המהווה איום משמעותי על הפרטיות.

שום דבר עדיין לא הגיב לטענות.

פתרונות הודעות מאובטחים

לפי Nothing, הסיבה העיקרית מאחורי אפליקציית ההודעות שלה הייתה לפתות את משתמשי האייפון באוזניות שלה להתחייב לסמארטפון שלה באופן מלא. החברה קבעה כי מחסומי העברת הודעות מרתיעים את משתמשי האייפון מלהחליף פלטפורמה, במיוחד הסטיגמה הקשורה להיות האדם הבלעדי בצ'אט קבוצתי עם הודעות בועות ירוקות של אנדרואיד במקום ההודעות הכחולות האופייניות לאפל.

"היינו כאילו, איך אנחנו יכולים לעשות משהו בקשר לזה?" אמר שום דבר הוא קרל פיי. "והתחלנו להסתכל על הצוותים השונים שעובדים על הבעיה הזו... ויצרנו קשר עם צוות Sunbird."

בהדהוד לחברות בולטות יותר כמו גוגל וסמסונג, Nothing הזכיר גם את חוסר התמיכה של אפל ב-RCS ב-iMessage. עוד היא טענה כי חוסר הרצון של אפל לאמץ RCS מסכנת את פרטיות המשתמש.

למרבה המזל, אפל הודיעהב-16 בנובמברשהיא תוסיף את הפרופיל האוניברסלי RCS ל-iMessage, ככל הנראה עם iOS 18 ב-2024. למרות שהפרופיל הזה לא כוללהגרסה של גוגלשל הצפנה מקצה לקצה, אפל עובדת עם גוף התעשייה GSMA על הכללה אפשרית של תקן הצפנה בתעשייה.