Nemrégiben számoltunk be arról, hogy egy különc telefongyártónak hála, most az ő készüléküket használók is egy kicsit iPhone-osoknak érezhetik magukat. Egészen pontosan az átlátszó, fénycsíkokkal ellátott mobiljairól elhíresült Nothingról van szó, akik egy igen kreatív módon játszották ki az Apple telefonok egyik kizárólagosságát.
A Nothing Chat keretein belül ugyanis lényegében egy iMessage-re hajazó programot helyeztek volna el az idén júliusban bemutatott Nothing Phone (2)-n. Valóban egy igen okos megoldásnak bizonyult a dolog, ennek ellenére mégsem tartott sokáig.
A Nothing ugyanis a minap a Twitter/X felületén jelentette be, hogy eltávolította a Nothing Chat béta változatát a Play Áruházból, melynek okául azokat a bugokat nevezték meg, amik javításra szorulnak a végső változat megjelenéséig. Mint azonban arra fény derült, a háttérben teljesen másról lehetett szó.
We've removed the Nothing Chats beta from the Play Store and will be delaying the launch until further notice to work with Sunbird to fix several bugs.
— Nothing (@nothing) November 18, 2023
We apologise for the delay and will do right by our users.
A Texts.com két szerzőjének alapos technikai elemzését követően ugyanis kiderült, hogy a Nothing Chat szolgáltatója, a Sunbird hazudhatott a végpontok közötti titkosításról. Mint ugye azt már korábban is megtudtuk, a Nothing Chat használatához először a Sunbird rendszerébe kell bejelentkeznünk az Apple ID fiókunk kíséretében, ami lényegében Mac miniken futtatott virtuális gépekből áll. Ide beérkeznek az üzenetek, majd a virtuális Macek segítségével továbbításra kerülnek az Apple szerverei felé.
A Sunbird ehhez kapcsolódva természetesen azt állította, hogy a szervereire küldött üzenetek teljes mértékben titkosítva vannak, azonban mint ahogy azt most felfedezték, ez nem teljesen így van. A szerzők szerint ugyanis a szolgáltatás által generált, azonosításhoz szükséges JSON Web Tokenek titkosítatlanul (HTTPS nélkül) kerültek továbbításra a Sunbird szervereire, ezzel kiszolgáltatva azokat a potenciális adathalászoknak.
Ha ez nem lenne elég, még azt is kiderítették, hogy az üzenetek visszafejtésre, majd tárolásra kerülnek a Sunbird szerverein, ezzel időt hagyva a támadóknak arra, hogy még a felhasználók előtt férjenek hozzá az adatokhoz.
texts team took a quick look at the tech behind nothing chats and found out it's extremely insecure
— Kishan Bagaria (@KishanBagaria) November 17, 2023
it's not even using HTTPS, credentials are sent over plaintext HTTP
backend is running an instance of BlueBubbles, which doesn't support end-to-end encryption yet pic.twitter.com/IcWyIbKE86
A támadást egyébként demonstrálták is, melynek során a JWT token megszerzésével és egy 23 soros kóddal lényegében hozzáfértek a Firebase adatbázisában tárolt összes felhasználói információhoz és beszélgetéshez.
A dolog egyértelműen a Sunbird sara, de az együttműködés kapcsán a Nothing sem kerülheti el a reflektorfényt. Már csak amiatt sem, hiszen bugként kommunikálni egy igen súlyos hibát, nem a leggerincesebb döntés. Azt persze így most nem tudjuk, hogy mi lesz a Nothing Chat sorsa. Mondjuk időközben már az Apple is beadta a derekát az RCS-támogatással kapcsolatban, így némileg értelmét vesztette a Nothing kezdeményezése is.
