फ्रीडम चैट ऐप में सुरक्षा खामियों से यूजर्स के फोन नंबर और पिन उजागर हो गए

मैसेजिंग ऐप फ्रीडम चैट ने कुछ सुरक्षा खामियों को ठीक कर दिया है: एक जिसने सुरक्षा शोधकर्ता को पंजीकृत उपयोगकर्ताओं के फोन नंबरों का अनुमान लगाने की अनुमति दी, और दूसरी जिसने ऐप पर उपयोगकर्ता द्वारा निर्धारित पिन को दूसरों के सामने उजागर कर दिया।

जून में जारी फ्रीडम चैट, खुद को एक सुरक्षित मैसेजिंग ऐप के रूप में पेश करता है, और अपनी वेबसाइट पर दावा करता है कि उपयोगकर्ताओं के फोन नंबर निजी रहते हैं।

लेकिन सुरक्षा शोधकर्ता एरिक डेगल ने टेकक्रंच को बताया कि ऐप को लॉक करने के लिए उपयोग किए जाने वाले उपयोगकर्ताओं के फोन नंबर और पिन कोड, कमजोरियों का फायदा उठाकर आसानी से प्राप्त किए जा सकते हैं।

डेगल ने पिछले सप्ताह कमजोरियों का पता लगाया और टेकक्रंच के साथ उनका विवरण साझा किया, क्योंकि फ्रीडम चैट भेद्यता प्रकटीकरण कार्यक्रम की तरह सुरक्षा खामियों की रिपोर्ट करने का सार्वजनिक तरीका प्रदान नहीं करता है। इसके बाद टेकक्रंच ने फ्रीडम चैट के संस्थापक टान्नर हास को ईमेल द्वारा सुरक्षा खामियों के बारे में सचेत किया।

हास ने टेकक्रंच से पुष्टि की कि ऐप ने अब उपयोगकर्ता पिन रीसेट कर दिया है और एक नया संस्करण जारी किया है। हास ने कहा कि कंपनी उन उदाहरणों को हटा रही है जहां उपयोगकर्ताओं के फोन नंबर कभी-कभी दिखाई देते थे, और बड़े पैमाने पर अनुमान लगाने के प्रयासों को रोकने के लिए अपने सर्वर पर दर-सीमित व्यवस्था लागू की है।

डेगल, जिन्होंने अपने निष्कर्ष प्रकाशित किए एक ब्लॉग पोस्ट मेंटेकक्रंच को बताया कि लगभग 2,000 उपयोगकर्ताओं के फोन नंबरों की गणना करना संभव था, जिन्होंने इसके लॉन्च होने के बाद से फ्रीडम चैट का उपयोग करने के लिए साइन अप किया था। डेगल ने कहा कि फ्रीडम चैट के सर्वर किसी को भी यह निर्धारित करने के लिए लाखों फोन नंबर अनुमान लगाने की इजाजत देते हैं कि उपयोगकर्ता का फोन नंबर सर्वर पर संग्रहीत था या नहीं।

डेगल के अनुसार, यह तकनीक एक के समान है वियना विश्वविद्यालय द्वारा वर्णित पिछले महीने शोध में, कहाँ शिक्षाविदों को खत्म कर दिया गया व्हाट्सएप के सर्वर से अरबों फोन नंबरों का मिलान करके व्हाट्सएप पर साइन अप करने वाले लगभग 3.5 बिलियन उपयोगकर्ता खातों का डेटा।

डेगल ने यह भी पाया कि फ्रीडम चैट उपयोगकर्ताओं के पिन कोड लीक कर रहा था। ऐप के अंदर और बाहर जाने वाले डेटा का विश्लेषण करने के लिए एक ओपन-सोर्स नेटवर्क ट्रैफ़िक निरीक्षण टूल का उपयोग करते हुए, डेगल ने देखा कि ऐप उसी सार्वजनिक चैनल में हर दूसरे उपयोगकर्ता के पिन कोड के साथ प्रतिक्रिया देगा – भले ही पिन ऐप के भीतर उपयोगकर्ताओं को दिखाई न दे।

डेगल के अनुसार, जो कोई भी डिफ़ॉल्ट फ्रीडम चैट चैनल में था, जिसे उपयोगकर्ता पहली बार साइन अप करने पर स्वचालित रूप से सब्सक्राइब कर लेते हैं, उनका पिन चैनल में बाकी सभी के लिए प्रसारित होता था। डेगल ने टेकक्रंच को बताया कि किसी व्यक्ति के पिन का ज्ञान किसी को उपयोगकर्ता के चोरी हुए डिवाइस से ऐप खोलने की अनुमति दे सकता है।

रविवार को प्रकाशित एक ऐप स्टोर अपडेट में, फ्रीडम चैट ने नोट किया: “एक महत्वपूर्ण रीसेट: एक हालिया बैकएंड अपडेट ने अनजाने में सिस्टम प्रतिक्रिया में उपयोगकर्ता पिन को उजागर कर दिया। कोई भी संदेश कभी भी जोखिम में नहीं था, और क्योंकि फ्रीडम चैट लिंक किए गए डिवाइसों का समर्थन नहीं करता है, इसलिए आपकी बातचीत कभी भी पहुंच योग्य नहीं थी; हालांकि, हमने यह सुनिश्चित करने के लिए सभी उपयोगकर्ता पिन रीसेट कर दिए हैं कि आपका खाता सुरक्षित रहे। आपकी गोपनीयता हमारी सर्वोच्च प्राथमिकता बनी हुई है।”

कन्वर्सो के बाद फ्रीडम चैट हास का दूसरा मैसेजिंग ऐप है, जिसे खुलासे के बाद ऐप स्टोर से हटा दिया गया था सुरक्षा खामियाँ जिससे उपयोगकर्ताओं के निजी संदेश और सामग्री उजागर हो गई।