Omstreden iMessage-app voor Android alweer verwijderd: hartstikke lek

Telefoonmaker Nothing dacht een leuke stunt te hebben door een Apple iMessage-app voor Android te maken. Na een paar dagen is de app alweer weg: er bleken ernstige lekken in het toch al krakkemikkige concept te zitten.

iMessage is er alleen voor Apple-apparaten. De berichtendienst is net als bijvoorbeeld WhatsApp end-to-end versleuteld, zodat niemand de berichten kan lezen bij onderschepping, alleen de zender en ontvanger. Zeker in de VS is iMessage populair: foto's en video's worden in veel mooiere kwaliteit verstuurd dan op WhatsApp, en veel chatgroepen zitten in de VS in iMessage in plaats van in WhatsApp.

De roep om iMessage voor Android is in de VS daarom groot, en telefoonmaker Nothing dacht op die vraag in te spelen. Wij schreven al waarom die app een slecht idee was: de app van Nothing voegde namelijk een beveiligingslek toe aan de versleuteling van iMessage. De Nothing-app kreeg toegang tot iMessage-chats door die via een virtuele Mac Mini in de cloud mee te lezen. Dit weekend bleek dat dat zelfs plain text gebeurde, onversleuteld: hartstikke onveilig dus. Je moet als gebruiker zelfs je iCloud-naam en wachtwoord aan de app geven, een heel slecht idee.

App nu dus verwijderd

De app van Nothing is nu tijdelijk uit de Google Play Store gehaald. De bètaversie van de app is "tot nader order uitgesteld", terwijl "enkele bugs" worden gerepareerd. Alleen van bugs lijkt dus niet per se sprake, omdat de hele insteek van zo'n app technisch gezien nooit waterdicht gemaakt kan worden. Dat zou alleen kunnen als Apple zelf een iMessage-app zou uitbrengen, die volledig versleuteld is.

Wel bleek de Nothing-app het wel heel bont te maken met de beveiliging, door chats dus volledig onversleuteld over te hevelen. Maar zelfs als die beveiliging wordt verbeterd, blijft het risico groot. Gebruikers wordt immers gevraagd om het veilige vacuüm van iMessage doelbewust door te prikken.

Overigens heeft Apple vorige week wel gemeld dat het sms-opvolger RCS gaat ondersteunen. Dat zal er voor Android-gebruikers voor zorgen dat deelname aan iMessage-groepen wat soepeler zal gaan, met mooiere foto's en vide's en sneller versleurende berichten. De beveiliging blijft echter slecht: RCS-berichten zijn net als sms standaard niet versleuteld. Daar zijn wel weer methoden voor, maar het lijkt er niet op dat Apple die methodes van bijvoorbeeld Google gaat ondersteunen.