Nothing Chats uit Play Store gehaald door zorgen om privacy
Sunbird had al een schimmige reputatie. De ontwikkelaar bleef wel inzetten op iMessage-ondersteuning voor Android, een gegeerde functie die nog niet eerder voorhanden was. De bezorgdheden om privacy blijken terecht, nu duidelijk wordt dat Nothing Chats niet end-to-end versleuteld is, ondanks dat Sunbird dat wel beloofd had. “Sunbird is de eerste ontwikkelaar die iMessage-ondersteuning veilig mogelijk maakt voor Androidgebruikers”, zei de ontwikkelaar op zijn website, die intussen niet meer bereikbaar is.
In Nothing Chats konden gebruikers inloggen met hun Apple ID, waarna de aanmelding via een serverfarm voor Mac verliep. Van end-to-end encryptie was geen sprake. Bovendien waren foto’s en beelden van andere gebruikers makkelijk te raadplegen via platte tekst. Data zou ook niet-versleuteld verzonden en opgeslagen worden via Firebase, weet 9to5Google.
Inbreuk op privacy
Onderzoeker Dylan Roussel deelde zijn bevindingen op X. Hij stelde vast dat gebruikers die zich via JSON Web Tokens aanmeldden, toegang konden kregen tot de Firebase-databank van Nothing Chat. Berichten en bestanden van andere gebruikers werden zo in realtime zichtbaar, alsook in platte tekst. Vooral voor vCards is dat problematisch, want die bevatten persoonlijke gegevens als telefoonnummers en e-mailadressen.
Roussel weet dat er momenteel meer dan 630.000 mediabestanden opgeslagen worden door Sunbird, op Firebase, waaronder beelden, video’s en pdf’s. Wie technisch vaardig is, zou met een klein stukje code al die informatie (automatisch) kunnen onderscheppen en downloaden. Intussen heeft Nothing bevestigd dat het Nothing Chats heeft weggehaald uit de Google Play Store. De lancering van de berichtendienst wordt nu officieel “uitgesteld om verschillende bugs aan te pakken”. Het lijkt weinig waarschijnlijk dat Nothing en Sunbird de problematische situatie nog helemaal zullen kunnen omkeren.
