Res ha cridat l'atenció recentment a la comunitat tecnològica pel seu intent portar iMessage als usuaris d'Android amb Nothing Chats. Aquest servei promet un canvi de joc en la missatgeria instantània, però ara n'és el centre preocupacions de seguretat. La descobriment que les credencials d'inici de sessió d'Apple es puguin enviar sense un xifratge adequat planteja serioses preocupacions sobre la protecció de les dades dels usuaris.
ACTUALITZACIÓ AL FINAL DE L’ARTICLE
Problemes de seguretat: iMessage per a Android està en risc?
Malgrat les afirmacions inicials de Nothing sobre seguretat i xifratge de missatges d'extrem a extrem, una anàlisi tècnica recent suggereix que les credencials d'Apple s'envien de manera insegura. Els experts en l'àmbit de la ciberseguretat han plantejat inquietuds específiques sobre el mètode de transmissió de credencials i la manca de xifratge. Aquesta bretxa de seguretat podria exposar els usuaris a riscos d'atacs intermedis o altres problemes de seguretat.
En resposta a les al·legacions, Res no va aclarir, al·legant que les credencials estan eficaçment tokenitzades i es mantenen en una base de dades xifrada, insistint en la seguretat del seu sistema. No obstant això, aquestes explicacions no han atenuat del tot els temors sobre la seguretat de les dades dels usuaris, deixant obertes algunes qüestions sobre la veracitat i eficàcia de les mesures de seguretat adoptades.
En definitiva, iMessage per a Android podria ser quelcom realment revolucionari, encara que no del tot compatible entre els dos ecosistemes (Apple i Android). En termes de seguretat, com sabem, la poma mossegada sí que ho és vehicle blindat correctament, mentre que l'altre sistema, al ser de codi obert, podria trobar-ne algun truc per eludir aquestes normes de seguretat.
La comparació de la seguretat de l'iMessage d'Apple amb la implementació de Nothing Chats destaca diferències notables en la protecció de dades i l'ús del xifratge. Mentre iMessage és conegut per la seva robusta seguretat, les revelacions recents sobre Nothing Chats plantegen dubtes sobre la fiabilitat del servei a l'hora de protegir la informació sensible dels usuaris.
Quins són els problemes amb iMessage per a Android?
Tot i que hem descrit adequadament quins són els problemes, creiem que cal fer un diagrama per aclarir els problemes que han sorgit:
- ús de la tecnologia Sunbird: Nothing Chats utilitza la tecnologia Sunbird per implementar l'iMessage d'Apple als dispositius Android. Això requereix que els usuaris proporcionin el seu ID d'Apple;
- procés de tokenització i destrucció de dades: Malgrat les afirmacions de Nothing sobre la tokenització de l'identificador d'Apple en una base de dades xifrada i la posterior destrucció de les dades d'identificació d'Apple originals, hi ha dubtes sobre la seguretat real d'aquests processos;
- manca d'un xifratge eficaç d'extrem a extrem: Contràriament a les afirmacions de Nothing, sembla que el xifratge i la privadesa d'extrem a extrem estan compromesos;
- utilitzeu HTTP en comptes d'HTTPS: Nothing Chats envia credencials d'usuari a través d'HTTP en text sense format, en lloc d'utilitzar HTTPS, que és un estàndard més segur;
- ús del servidor BlueBubbles: el backend de Nothing Chats es basa en un servidor BlueBubbles més que en un Mac Mini: el primer no admet el xifratge d'extrem a extrem;
- declaracions contradictòries sobre BlueBubbles i Sunbird: Res no ha argumentat que l'ús del terme BlueBubbles sigui només una coincidència i que Sunbird no utilitzi la tecnologia BlueBubbles. Tanmateix, no van donar cap explicació per a la manca d'ús d'HTTPS;
- Conservació de text i contingut multimèdia sense xifrar a Firebase: Nothing Chats emmagatzema tot el text i els mitjans entrants en un format sense xifrar a Firebase.
ACTUALITZACIÓ 19/11/2023
Com us podeu imaginar, iMessage per a Android ho era retirat de Play Store. Inicialment, res semblava indicar que això es va fer a causa del descobriment de diversos errors que simplement s'havien de solucionar. Tanmateix, sembla que el motiu real és un altre, i és pitjor.
Recordem que la interacció entre Android messenger i iMessage té lloc des d'un tercer. Està representada per la companyia Sunbird, que proporciona la seva plataforma a través de la qual passa la màgia. No obstant això, va resultar que pel que fa a la seguretat de les dades, aquesta plataforma aparentment és molt pitjor del que afirmava el mateix Sunbird. En particular, no hi ha xifratge d'extrem a extrem.
La plataforma Sunbird, i per tant l'aplicació Nothing Chats, requereix que un nou usuari de l'aplicació enviï les seves credencials d'identificació d'Apple per configurar la sincronització. Aquesta dada és llavors autenticeu-vos en nom vostre mitjançant una màquina virtual amb MacOS. El principal problema és que la sol·licitud que conté les credencials de l'usuari es produeix a través d'un canal sense xifrar (HTTP).
La situació en conjunt és més complexa i àmplia descrit al lloc web de Text.Blog, on diversos especialistes expliquen com van descobrir el problema i què és. Entre altres coses, demostren que és possible obtenir dades personals dels usuaris. doncs, de fet, Res no pot ser responsable de la situació.
