日曜日、ブロック社のCEOでツイッターの共同創業者のジャック・ドーシー氏は、Bitchatと呼ばれるオープンソースのチャットアプリをリリースし、中央集権的なインフラなしで「安全」かつ「プライベート」なメッセージングを実現すると約束した。
このアプリは、インターネットに依存する従来のメッセージングアプリとは異なり、Bluetoothとエンドツーエンドの暗号化を採用しています。分散型であるため、Bitchatはインターネットが監視されている、またはアクセスできない高リスク環境でも安全なアプリとなる可能性を秘めています。アプリのプロトコルとプライバシーメカニズムを詳述したドーシー氏のホワイトペーパーによると、Bitchatのシステム設計はセキュリティを「最優先」しているとのことです。
しかし、アプリが安全だという主張は、アプリとそのコードがセキュリティ問題についてまったく検討もテストもされていないことを考えると、すでにセキュリティ研究者による精査に直面している。これはドーシー氏自身の認めることでもある。
ローンチ以来、ドーシー氏はBitchatのGitHubページに警告を追加している。「このソフトウェアは外部セキュリティレビューを受けていないため、脆弱性が含まれている可能性があり、必ずしも定められたセキュリティ目標を満たしているわけではありません。本番環境で使用しないでください。また、レビューが完了するまでは、そのセキュリティに一切頼らないでください。」
この警告は現在では Bitchat のメイン GitHub プロジェクト ページにも表示されていますが、アプリがデビューした時点ではそこにはありませんでした。
水曜日の時点で、ドーシー氏はGitHub上の警告の横に「作業進行中」と付け加えた。
この最新の免責事項は、セキュリティ研究者のアレックス・ラドセア氏が、他人になりすまして、その人の連絡先をだまして正当な連絡先と話していると思い込ませることが可能であることを発見した後に出されたものだと、同研究者はブログ記事で説明している。
テッククランチイベント
サンフランシスコ | 2025年10月27日～29日
Radocea氏は、Bitchatには「不完全なID認証／検証」システムがあり、攻撃者が誰かの「IDキー」と「ピアIDペア」を傍受できると述べている。これは、アプリを使用する2人の間で信頼関係を確立するためのデジタルハンドシェイクである。Bitchatではこれらの連絡先を「お気に入り」と呼び、星印でマークする。この機能の目的は、2人のBitchatユーザーが、以前会話した相手と同じ相手と会話していることを確信しながらやり取りできるようにすることだ。
ドーシー氏は、自身のブロックのメールアドレスに送られたテッククランチからのコメント要請には応じなかった。
月曜日、ラドセア氏はGitHubプロジェクトにチケットを提出し、Bitchatのお気に入りシステムで発見したセキュリティ上の欠陥を報告する方法を尋ねた。その後すぐに、ドーシー氏はコメントなしにチケットを「完了」とマークした。（ドーシー氏は水曜日にチケットを再開し、セキュリティ上の問題はGitHubに直接投稿することで報告できると述べた。）
別の人物は、ビットチャットには「前方秘匿性」があるというドーシー氏の主張に懸念を表明した。前方秘匿性とは、たとえ攻撃者が暗号鍵を盗んだり危険にさらしたりしても、以前に送信されたメッセージを解読できないことを保証する暗号化技術である。
また、バッファオーバーフローのバグの可能性を指摘する人もいた。これは、ハッカーがデバイスのメモリを強制的に他の場所に流出させ、データ侵害につながる可能性がある、一般的なタイプのセキュリティ脆弱性である。
ラドセア氏は、Bitchatユーザーはまだアプリを信頼すべきではないと警告した。
「セキュリティは、バイラル展開において非常に重要な機能です。しかし、このようなものを作る際には、IDキーが実際に暗号化されているかといった基本的な健全性チェックをテストするのは当然のことです」とラドセア氏はTechCrunchに語った。「セキュリティに関するメッセージを文字通り受け取り、自分の安全をそれに頼ろうとする人もいるので、現状のプロジェクトは彼らを危険にさらす可能性があります。」
ラドセア氏は自身と他の人々の調査結果に言及し、ビッチアットのセキュリティテストが行われていないというドーシー氏の警告を批判した。
「外部のセキュリティレビューを受けているが、状況は良くない」と彼は語った。
Lorenzo Franceschi-Bicchierai 氏は TechCrunch のシニアライターであり、ハッキング、サイバーセキュリティ、監視、プライバシーなどをカバーしています。
ロレンゾからの連絡を確認したり連絡を受けたりする場合は、[email protected]にメールを送信するか、Signal の +1 917 257 1382 に暗号化されたメッセージを送信するか、Keybase/Telegram の @lorenzofb にメッセージを送信してください。
バイオを見る
