Το Nothing Chats beta καταργήθηκε από το Google Play Store λόγω ανησυχιών σχετικά με το απόρρητο. Η εφαρμογή, που υποστηρίζεται από την πλατφόρμα ανταλλαγής μηνυμάτων Sunbird, επέτρεψε στους χρήστες του Nothing Phone να στέλνουν μηνύματα στους χρήστες του iMessage, μετά την πρόσφατη ανακοίνωση της Apple για υποστήριξη RCS.
Οι αναφορές αναφέρουν ότι η εκτόξευση καθυστερεί λόγω προσπαθειών εξάλειψης σφαλμάτων. Το Nothing Chats απαιτούσε πρόσβαση στους λογαριασμούς iCloud των χρηστών για αποστολή γραπτών μηνυμάτων με το iMessage. Το Texts.blog ονόμασε το Nothing Chats μια ανανεωμένη, ανασφαλή έκδοση της εφαρμογής Sunbird.
Η ομάδα αντίστροφης μηχανικής του Texts.com ερεύνησε και διαπίστωσε ότι το Sunbird και το Nothing Chats απαιτούσαν την αποστολή διαπιστευτηρίων Apple ID στους διακομιστές τους. Τα προκαταρκτικά ευρήματα αποκάλυψαν ευπάθειες που επηρεάζουν την έκδοση της Nothing.
Η ομάδα ανακάλυψε ζητήματα ασφαλείας, συμπεριλαμβανομένης της αποστολής κρίσιμων διαπιστευτηρίων μέσω ενός μη κρυπτογραφημένου καναλιού (HTTP). Παρά το γεγονός ότι η Sunbird διεκδίκησε πιστοποίηση ISO27001, η έρευνα αποκάλυψε παραπλανητικές πληροφορίες σχετικά με την κρυπτογράφηση από άκρο σε άκρο.
Τα μηνύματα που αποστέλλονταν στους διακομιστές της Sunbird ήταν κρυπτογραφημένα, αλλά τα JSON Web Tokens (JWT) στάλθηκαν χωρίς κρυπτογράφηση σε άλλο διακομιστή Sunbird, καθιστώντας τα ευάλωτα στην υποκλοπή.
Τα μηνύματα αποκρυπτογραφήθηκαν και αποθηκεύτηκαν σε διακομιστές Sunbird, επιρρεπείς σε μη εξουσιοδοτημένη πρόσβαση. Το Texts.com αναχαίτισε JWT, αποκτώντας πρόσβαση στη βάση δεδομένων του Firebase σε πραγματικό χρόνο και στις πληροφορίες χρήστη με μόλις 23 γραμμές κώδικα.
Ενώ η Sunbird είναι άμεσα υπεύθυνη για ζητήματα απορρήτου, η Nothing δέχθηκε κριτική επειδή συνεργάστηκε μαζί τους και υποβάθμισε την κατάσταση ως «σφάλματα». Παραμένει αβέβαιο εάν το Nothing Chats μπορεί να αντιμετωπίσει αυτές τις ανησυχίες ασφαλείας και να επιστρέψει με επιτυχία στο Play Store.
