Η νέα εφαρμογή Bitchat του Jack Dorsey και οι ανησυχίες για την ασφάλεια

Η καινοτομία της Bitchat

Την Κυριακή, ο Jack Dorsey, CEO της Block και συνιδρυτής του Twitter, παρουσίασε την Bitchat, μια νέα open source εφαρμογή συνομιλίας που υπόσχεται ασφαλή και ιδιωτική επικοινωνία χωρίς κεντρική υποδομή. Η Bitchat χρησιμοποιεί Bluetooth και end-to-end κρυπτογράφηση, διαφοροποιούμενη από τις παραδοσιακές εφαρμογές που βασίζονται στο διαδίκτυο. Αυτή η αποκεντρωμένη προσέγγιση έχει τη δυνατότητα να προσφέρει ασφάλεια σε περιβάλλοντα υψηλού κινδύνου, όπου το διαδίκτυο παρακολουθείται ή είναι απρόσιτο.

Αμφισβητήσεις σχετικά με την ασφάλεια

Παρά τις διαβεβαιώσεις για την ασφάλεια της εφαρμογής, οι ισχυρισμοί αυτοί έχουν ήδη τεθεί υπό αμφισβήτηση από ερευνητές ασφάλειας, καθώς ούτε η εφαρμογή ούτε ο κώδικάς της έχουν ελεγχθεί για ζητήματα ασφάλειας. Ο ίδιος ο Dorsey παραδέχτηκε ότι δεν έχει γίνει εξωτερικός έλεγχος ασφαλείας.

Από την κυκλοφορία της, ο Dorsey πρόσθεσε μια προειδοποίηση στη σελίδα της Bitchat στο GitHub: «Αυτό το λογισμικό δεν έχει λάβει εξωτερικό έλεγχο ασφαλείας και μπορεί να περιέχει ευπάθειες. Μην το χρησιμοποιείτε για παραγωγική χρήση και μην βασίζεστε στην ασφάλειά του μέχρι να ελεγχθεί.»

Προβλήματα ταυτοποίησης και επιθέσεις

Η προειδοποίηση αυτή εμφανίστηκε στη σελίδα του έργου στο GitHub, αλλά δεν υπήρχε όταν η εφαρμογή έκανε το ντεμπούτο της. Την Τετάρτη, ο Dorsey πρόσθεσε τη φράση «work in progress» δίπλα στην προειδοποίηση. Αυτή η τελευταία δήλωση ήρθε μετά από ανακάλυψη του ερευνητή ασφάλειας Alex Radocea, ο οποίος διαπίστωσε ότι είναι δυνατό να υποδυθεί κάποιος άλλον χρήστη και να ξεγελάσει τις επαφές του, κάνοντάς τες να πιστέψουν ότι συνομιλούν με το σωστό άτομο.

Ο Radocea ανέφερε ότι η Bitchat έχει ένα «σπασμένο σύστημα ταυτοποίησης/επαλήθευσης ταυτότητας» που επιτρέπει σε έναν επιτιθέμενο να υποκλέψει το «identity key» και το «peer id pair» ενός χρήστη — ουσιαστικά μια ψηφιακή χειραψία που υποτίθεται ότι δημιουργεί μια αξιόπιστη σύνδεση μεταξύ δύο ατόμων που χρησιμοποιούν την εφαρμογή.

Κριτική και προειδοποιήσεις

Ο Dorsey δεν απάντησε στο αίτημα για σχολιασμό από το TechCrunch. Ο Radocea κατέθεσε ένα αίτημα στο GitHub για το πώς μπορεί να αναφέρει το πρόβλημα ασφαλείας που ανακάλυψε στο σύστημα «Favorites» της Bitchat. Λίγο αργότερα, ο Dorsey το χαρακτήρισε ως «ολοκληρωμένο», χωρίς σχόλιο.

Άλλοι χρήστες εξέφρασαν ανησυχίες σχετικά με τους ισχυρισμούς του Dorsey ότι η Bitchat διαθέτει «forward secrecy», μια κρυπτογραφική τεχνική που διασφαλίζει ότι ακόμα και αν ένας επιτιθέμενος αποκτήσει ή παραβιάσει ένα κλειδί κρυπτογράφησης, δεν μπορεί να αποκρυπτογραφήσει προηγούμενα μηνύματα.

Η σημασία της ασφάλειας στις εφαρμογές συνομιλίας

Ο Radocea προειδοποίησε ότι οι χρήστες της Bitchat δεν πρέπει να εμπιστεύονται την εφαρμογή ακόμα. «Η ασφάλεια είναι ένα εξαιρετικό χαρακτηριστικό για να γίνει κάτι viral. Αλλά ένας βασικός έλεγχος λογικής, όπως το αν τα identity keys κάνουν πράγματι κάποια κρυπτογράφηση, θα ήταν κάτι πολύ προφανές να δοκιμαστεί κατά την κατασκευή μιας τέτοιας εφαρμογής,» δήλωσε στο TechCrunch.

Αναφερόμενος στα ευρήματα του και άλλων, ο Radocea επέκρινε την προειδοποίηση του Dorsey ότι η Bitchat δεν έχει ελεγχθεί για ασφάλεια. «Θα έλεγα ότι έχει λάβει εξωτερικό έλεγχο ασφαλείας, και τα αποτελέσματα δεν είναι καλά,» πρόσθεσε.