В прошлом году сооснователь Twitter Джек Дорси (Jack Dorsey) объявил о запуске децентрализованного мессенджера Bitchat, для работы которого не нужен интернет, поскольку передача сообщений осуществляется по Bluetooth. Теперь же он написал в соцсети X, что это приложение было удалено из китайского App Store по запросу Управления по вопросам киберпространства Китая (CAC).

Обзор Ryzen 9 9950X3D2: правильный 16-ядерник с 3D-кешем

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

Источник изображения: GitHub

Обоснование для запрета со стороны регулятора было вполне конкретным. Приложение Bitchat нарушает одну из статей действующих в стране положений, регулирующих онлайн-сервисы, которые «имеют возможности формирования общественного мнения или социальной мобилизации». Согласно этим правилам, любой подобный сервис до запуска на территории страны должен пройти обязательную оценку безопасности со стороны отраслевых регуляторов.

Приложение Bitchat не проходило проверку, да и не могло этого сделать. Дело в том, что для передачи сообщений оно использует Bluetooth и mesh-сети, не нуждаясь в постоянном подключении к интернету. Bitchat действует в радиусе примерно 30 метров, а также использует узлы-мосты для соединения отдельных кластеров. Сообщения пользователей хранятся только на их устройствах и не передаются в централизованную базу.

Таким образом, у местных регуляторов нет серверов для контроля, трафика для ограничения или фильтрации, IP-адресов для блокировки. Знаменитый великий китайский брандмауэр представляет собой сложную инфраструктуру для цензуры, но и он не имеет механизма для контроля Bitchat. Поэтому китайские власти обратились к Apple.

Власти Китая не могут запретить Bitchat, поскольку архитектура сервиса делает это невозможным. Даже в стране, где контролируется каждый провайдер, каждая сотовая сеть и каждый роутер Wi-Fi, нельзя остановить общение двух смартфонов по Bluetooth. Тем не менее, власти направили запрос Apple, после чего приложение Bitchat было удалено из магазина App Store. Это означает, что новые пользователи в стране уже не смогут загрузить мессенджер на свои устройства через официальные каналы. Соблюдение Apple этого запроса соответствует установленной схеме взаимодействия компании с регулирующими органами страны. Пользователи устройств на базе Android по-прежнему могут устанавливать приложение, скачивая соответствующий APK-файл из сторонних источников.

Недавно запущенный мессенджер Bitchat, созданный генеральным директором Block и соучредителем Twitter Джеком Дорси (Jack Dorsey), позиционируется как средство безопасного общения без использования интернета. Но исследователи заявили, что приложение содержит критические уязвимости, которые ставят под угрозу конфиденциальность данных.

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

Обзор Ryzen 9 9950X3D2: правильный 16-ядерник с 3D-кешем

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Источник изображения: GitHub

Bitchat позиционируется как безопасный и приватный продукт без централизованной инфраструктуры, использующий только Bluetooth и сквозное шифрование вместо интернет-соединения. В техническом описании Дорси подчёркивал, что система мессенджера разработана с приоритетом на защиту данных. Однако уже в первые дни заявление о безопасности приложения подверглось сомнению, сообщает TechCrunch.

Сам Дорси признал, что код Bitchat не проходил независимого аудита, и разместил на GitHub предупреждение о возможных уязвимостях. Разработчик прямо рекомендовал не использовать приложение для важной переписки, пока его безопасность не будет подтверждена экспертами. Однако изначально этого предупреждения не было — оно появилось позже, а затем Дорси добавил пометку «Work in progress», что говорит о незавершённости проекта.

Поводом для корректировок стали выводы исследователя Алекса Радочи (Alex Radocea), который обнаружил критическую уязвимость в системе идентификации пользователей. Оказалось, что злоумышленник может перехватить цифровые ключи и выдать себя за доверенный контакт, отмеченный в Bitchat как «Избранный». Радочи сообщил об этом через тикет на GitHub, но Дорси сначала закрыл запрос без комментариев, а затем вновь открыл, предложив публиковать подобные отчёты напрямую в репозитории.

Другие специалисты также нашли проблемы. Один из них усомнился в реализации функции Forward secrecy, которая должна защищать старые сообщения даже при компрометации ключа. Другой обратил внимание на потенциальную уязвимость переполнения буфера (buffer overflow), возникающую, когда программа пытается записать больше данных в буфер (область памяти), чем этот буфер может вместить. Это позволяет стороннему лицу получить доступ к памяти устройства.

В итоге Радочи заявил, что текущая версия Bitchat не готова для использования теми, кто всерьёз полагается на защищённую связь. По его словам, базовые проверки криптографии идентификационных ключей не проводились, а громкие заявления о безопасности могут ввести пользователей в заблуждение. Исследователь иронично отметил, что приложение уже прошло внешний аудит силами энтузиастов, и результаты оказались неутешительными. Сам Дорси не ответил на запрос издания TechCrunch относительно выявленных проблем.