В мессенджере Freedom Chat исправлены две уязвимости
Приложение для обмена сообщениями Freedom Chat, выпущенное в июне, позиционирует себя как защищённое приложение для обмена сообщениями и утверждает на своём сайте, что номера телефонов пользователей остаются конфиденциальными.
Однако исследователь безопасности Эрик Дейгл сообщил TechCrunch, что номера телефонов и PIN-коды пользователей, используемые для блокировки приложения, можно было легко получить, используя уязвимости.
Дейгл обнаружил уязвимости на прошлой неделе и поделился их деталями с TechCrunch, поскольку у Freedom Chat нет публичного способа сообщить об ошибках безопасности, например, программы раскрытия уязвимостей. Затем TechCrunch предупредил основателя Freedom Chat Таннера Хааса об уязвимостях по электронной почте.
Хаас подтвердил TechCrunch, что приложение теперь сбросило PIN-коды пользователей и выпустило новую версию. Хаас добавил, что компания удаляет случаи, когда номера телефонов пользователей иногда были видны, и усилила ограничение скорости на своих серверах, чтобы предотвратить попытки массового подбора.
Дейгл, опубликовавший свои выводы в блоге, сообщил TechCrunch, что можно было перечислить номера телефонов почти 2000 пользователей, которые зарегистрировались для использования Freedom Chat с момента его запуска. Дейгл сказал, что серверы Freedom Chat позволяли любому пользователю отправлять миллионы предположений о номерах телефонов, чтобы определить, хранятся ли номера телефонов пользователей на серверах.
По словам Дейгла, эта техника идентична той, что описана Венским университетом в исследовании прошлого месяца, где учёные собрали данные примерно о 3,5 миллиардах учётных записей пользователей, зарегистрированных в WhatsApp, сопоставив миллиарды номеров телефонов с серверами WhatsApp.
Дейгл также обнаружил, что Freedom Chat пропускает PIN-коды пользователей. Используя инструмент для анализа сетевого трафика с открытым исходным кодом для анализа данных, поступающих в приложение и выходящих из него, Дейгл увидел, что приложение будет отвечать PIN-кодами всех остальных пользователей в одном и том же общедоступном канале — даже если PIN-коды не были видны пользователям в самом приложении.
Согласно Дейглу, у любого, кто был в канале Freedom Chat по умолчанию, PIN-код которого автоматически подписывался пользователями при первой регистрации, PIN-код был доступен для всех остальных в канале. Дейгл сообщил TechCrunch, что знание PIN-кода человека может позволить кому-то открыть приложение с украденного устройства пользователя.
В обновлении для магазина приложений, опубликованном в воскресенье, Freedom Chat отметил: «Критический сброс: недавнее внутреннее обновление случайно раскрыло PIN-коды пользователей в системном ответе. Никакие сообщения никогда не были под угрозой, и поскольку Freedom Chat не поддерживает связанные устройства, ваши разговоры никогда не были доступны; однако мы сбросили все PIN-коды пользователей, чтобы обеспечить безопасность вашей учётной записи. Ваша конфиденциальность остаётся нашим главным приоритетом».
Freedom Chat — второе приложение для обмена сообщениями Хааса после Converso, которое было исключено из магазинов приложений после раскрытия уязвимостей, которые раскрывали личные сообщения и контент пользователей.