Freedom Chat, приложение для обмена сообщениями, выпущенное в июне, позиционирует себя как безопасное и утверждает на своем веб-сайте, что номера телефонов пользователей остаются конфиденциальными.
Однако специалист по безопасности Эрик Дайгл сообщил TechCrunch, что номера телефонов пользователей и PIN-коды, используемые для блокировки приложения, могут быть легко получены путем эксплуатации уязвимостей.
Дайгл обнаружил уязвимости на прошлой неделе и поделился их деталями с TechCrunch, поскольку Freedom Chat не предоставляет публичного способа сообщать о недостатках безопасности, такого как программа раскрытия уязвимостей. TechCrunch затем уведомил основателя Freedom Chat Таннера Хааса о проблемах безопасности по электронной почте.
Хаас подтвердил TechCrunch, что приложение уже сбросило PIN-коды пользователей и выпустило новую версию. Хаас добавил, что компания удаляет случаи, когда номера телефонов пользователей иногда были видны, и увеличила ограничение скорости на своих серверах для предотвращения массовых попыток угадывания.
Дайгл, опубликовавший свои выводы в посте в блоге, сообщил TechCrunch, что можно было перечислить номера телефонов почти 2000 пользователей, зарегистрировавшихся для использования Freedom Chat с момента его запуска. Дайгл сказал, что серверы Freedom Chat позволяли любому перегрузить их миллионами попыток угадать номера телефонов, чтобы определить, хранится ли номер телефона пользователя на серверах.
По словам Дайгла, этот метод идентичен тому, который был описан Венским университетом в исследовании, опубликованном в прошлом месяце, где академики собрали данные примерно о 3,5 миллиардах учетных записей пользователей, зарегистрировавшихся в WhatsApp, сопоставив миллиарды телефонных номеров с серверами WhatsApp.
Дайгл также обнаружил, что Freedom Chat раскрывает PIN-коды пользователей. Используя инструмент для анализа сетевого трафика с открытым исходным кодом для анализа данных, поступающих в приложение и выходящих из него, Дайгл увидел, что приложение отвечало PIN-кодами каждого другого пользователя в том же общедоступном канале — даже если PIN-коды не были видны пользователям в самом приложении.
По словам Дайгла, любой, кто находился в стандартном канале Freedom Chat, на который пользователи автоматически подписываются при первой регистрации, имел свой PIN-код, транслируемый всем остальным в канале. Дайгл сообщил TechCrunch, что знание PIN-кода человека может позволить кому-то открыть приложение с украденного устройства пользователя.
В обновлении магазина приложений, опубликованном в воскресенье, Freedom Chat отметил: «Критическое сброс: недавнее обновление серверной части непреднамеренно раскрыло PIN-коды пользователей в системном ответе. Сообщения никогда не подвергались риску, и поскольку Freedom Chat не поддерживает связанные устройства, ваши разговоры никогда не были доступны; однако мы сбросили все PIN-коды пользователей, чтобы обеспечить безопасность вашей учетной записи. Ваша конфиденциальность остается нашим главным приоритетом».
Freedom Chat — второе приложение для обмена сообщениями Хааса после Converso, которое было удалено из магазинов приложений после раскрытия уязвимостей безопасности, раскрывших личные сообщения и контент пользователей.
Автор – Zack Whittaker
