De Freedom Chat-berichtenapp heeft een aantal beveiligingsfouten verholpen: een waardoor een beveiligingsonderzoeker de telefoonnummers van geregistreerde gebruikers kon raden, en een andere waardoor de pincodes die door de gebruiker in de app waren ingesteld, aan anderen konden worden getoond.
Freedom Chat, uitgebracht in juni, profileert zichzelf als een veilige berichten-app en stelt op zijn website dat de telefoonnummers van gebruikers privé blijven.
Maar beveiligingsonderzoeker Eric Daigle vertelde TechCrunch dat de telefoonnummers en pincodes van gebruikers, die worden gebruikt om de app te blokkeren, gemakkelijk kunnen worden verkregen door misbruik te maken van de kwetsbaarheden.
Daigle ontdekte de kwetsbaarheden vorige week en deelde de details met TechCrunch, omdat Freedom Chat geen openbare manier biedt om beveiligingsfouten te melden, zoals een programma voor het vrijgeven van kwetsbaarheden. TechCrunch heeft Freedom Chat-oprichter Tanner Haas vervolgens via e-mail op de hoogte gebracht van de beveiligingsfouten.
Haas bevestigde tegenover TechCrunch dat de app nu gebruikerspincodes heeft gereset en een nieuwe versie heeft uitgebracht. Haas voegde eraan toe dat het bedrijf gevallen verwijdert waarin de telefoonnummers van gebruikers af en toe zichtbaar waren en snelheidsbeperkingen op zijn servers heeft geïmplementeerd om massale gokpogingen te voorkomen.
Daigle, die zijn bevindingen publiceerde in een blogpostvertelde TechCrunch dat het de telefoonnummers kon opsommen van bijna 2.000 gebruikers die zich sinds de lancering hadden aangemeld voor het gebruik van Freedom Chat. Daigle zei dat de servers van Freedom Chat iedereen in staat stellen het te overspoelen met miljoenen telefoonnummerpogingen om te bepalen of het telefoonnummer van een gebruiker op de servers is opgeslagen.
Volgens Daigle is deze techniek identiek aan één beschreven door de Universiteit van Wenen in de zoektocht vorige maand, waar academici geschrapt gegevens over ongeveer 3,5 miljard gebruikersaccounts die zich bij WhatsApp hebben aangemeld door miljarden telefoonnummers te vergelijken met de servers van WhatsApp.
Daigle ontdekte ook dat Freedom Chat de pincodes van gebruikers lekte. Met behulp van een open-source inspectietool voor netwerkverkeer om gegevens te analyseren die de app in en uit gingen, zag Daigle dat de app zou reageren met de pincodes van elke andere gebruiker in hetzelfde openbare kanaal, zelfs als de pincodes niet zichtbaar waren voor gebruikers binnen de app zelf.
Volgens Daigle zag iedereen in het standaard Freedom Chat-kanaal, waarvoor gebruikers zich automatisch aanmelden wanneer ze zich voor het eerst aanmelden, hun pincode naar alle anderen in het kanaal uitgezonden. Daigle vertelde TechCrunch dat het kennen van de pincode van een persoon iemand in staat zou kunnen stellen de app te openen vanaf het gestolen apparaat van een gebruiker.
In een app store-update die zondag werd geplaatst, merkte Freedom Chat op: “Een kritische reset: een recente backend-update heeft onbedoeld gebruikerspincodes blootgelegd in een systeemreactie. Er zijn nooit berichten in gevaar geweest, en omdat Freedom Chat geen aangesloten apparaten ondersteunt, waren uw gesprekken nooit toegankelijk; we hebben echter alle gebruikerspincodes gereset om ervoor te zorgen dat uw account veilig blijft. Uw privacy blijft onze topprioriteit.”
Freedom Chat is de tweede berichtenapp van Haas, na Converso, die na de onthulling uit de appstores werd verwijderd beveiligingsfouten die de privéberichten en inhoud van gebruikers openbaar maakte.
