„Безопасният“ месинджър Bitchat от създателя на Twitter не премина нито една от проверките за безопасност

Съоснователят на Twitter и изпълнителен директор на Block Джак Дорси по-рано представи „частен“ и „безопасен“ Bitchat, който по ирония на съдбата се оказа критично уязвим.

Основната особеност на приложението с отворен код —- децентрализацията, Bluetooth-обмена на съобщения без достъп до интернет и криптирането от край до край. Дорси заяви, че Bitchat би трябвало да бъде особено полезен на местата, където няма или е ограничен интернета — места на природни бедствия, протести и други подобни. Но само няколко дни след старта самият Дорси беше принуден да съобщи за проблеми в GitHub.

„Този ​​софтуер не е тестван за сигурност, може да съдържа уязвимости и не е гарантирано, че е безопасен. Не трябва да го използвате във важни проекти, докато не бъде тестван“ — написа Дорси.

Експертът по сигурност Алекс Радоча откри сериозна уязвимост: нападател може лесно да се преструва на друг потребител в чата. Той показа пример, при който фалшив „Боб“ комуникира с „Алис“, но приложението Bitchat не предупреждава за подмяната на самоличността. Причината е в несъвършената система от „Любими“ контакти. Звездичката до името не гарантира автентичност без криптографско потвърждение.

Потребителите откриха и друг проблем — евентуално препълване на буфера и фалшиви твърдения за „предварителна секретност“ (функция, която би трябвало да защитава старите съобщения, ако ключовете са компрометирани). Той съобщи за това чрез GitHub, но Дорси първоначално затвори заявката без отговор. По-късно разработчикът написа : „Работата е в процес“. Сега сигналите за такива уязвимости се приемат директно чрез GitHub.

Ако го погледнем по-широко, Bitchat днес е просто експериментален проект. Въпреки че беше представен като „личен“ и „безопасен“, всъщност е твърде рано да го наречем така. Особено ако си представим ситуация, в която месинджърът действително се използва по време на протести, но страната, срещу която се провежда митингът, хакне системата и дезинформира тълпата. Следователно, засега Bitchat повдига повече въпроси и заплашва с рискове, отколкото изпълнява заявените си цели.