Dostupno è un’app che sta facendo discutere. L’abbiamo presentata come rivoluzionaria proposta per inviare messaggi senza credito e senza connessione. Tutti certi che si trattasse della migliore proposta alternativa all’uso di Whatsapp, Telegram e di tutte le altre app di messaggistica istantanea. Ma è sorto un problema enorme. Chiunque l’abbia installata o pensa di provarla DEVE continuare a leggere assolutamente.
Dostupno: clamorosa scoperta
Un utente Reddit ha deciso di provare la nuova prodigiosa app di messaggistica Dostupno scoprendo con sorpresa che si tratta tutt’altro che di un’app miracolosa. Promette di creare un canale di comunicazione gratuito che non ha bisogno di credito, WiFi o promo 4G attive per funzionare. L’antitesi ideale a Whatsapp e tutte le altre app. Ci siamo dovuti ricredere.
Analizzando il database si è scoperto che il sistema è tutt’altro che sicuro. Le recensioni positive non rispecchiano la realtà di una piattaforma pericolosa. Utilizzarla non è semplice e la grafica spartana è solo il primo ostacolo. Presto ci si rende conto che ci si trova in presenza di un’app spia. Il sistema che decodifica gli squilli non solo non funziona ma pubblica tutti i messaggi online su una piattaforma senza crittografia.
Analizzando il codice si scopre che il nome del package è com.devilapp.ring. Un nome che non trasmette certo fiducia e che si scopre non essere stata creata in Java. Lo sviluppatore ha utilizzato un IDE B4X poi trasformato per essere adattato al contesto mobile ed agli standard dettati dalla policy Google. Si è così creato un ammasso informe di righe di codice. Scorrendo il listato si visualizza una stringa che spiega il vero funzionamento dell’app. Si legge:
“L’app tenta di contare la durata dello squillo che funziona come chiave per identificare il messaggio da inviare, assieme al numero di telefono del mittente. Questa durata verrà poi utilizzata per recuperare il messaggio corrispondente dal Database”
Esiste quindi una coda dei messaggi. Primo errore. L’app non doveva funzionare senza connessione? Perché c’è un database? Evidentemente l’app sene serve per inoltrare il contenuto nel caso in cui il destinatario fosse offline.
Il secondo sbaglio si scopre più avanti nella lettura del codice. Il database usa una pagina php che si può richiamare tramite un POST avente come unico parametro la query stessa. In soldoni è possibile recuperare qualsiasi messaggio in chiaro senza autenticazione speciale. Sicurezza? Inesistente.
Si tratta di leggerezza molto gravi, tanto da scatenare un vero e proprio hype mediatico che hai il suono di una rappresaglia. Sulla base delle analisi è facile pensare che chiunque possa leggere ciò che viene inviato. TUTTO! Comprese coordinate bancarie e dati sensibili che dovrebbero essere presumibilmente al sicuro. Inammissibile! Tra l’altro alcuni utenti hanno notato che lo sviluppatore ha omesso l’indicazione della Partita IVA, obbligatoria a norma di Legge.
Gli sviluppatori nel mentre hanno fatto sentire le loro ragioni col seguente comunicato stampa:
