曾爆保安災難嘅 Sunbird 翻生：Android 用戶仲應唔應該交 Apple ID？

Sunbird 又返嚟。呢款 Android app 俾用戶登入 Apple ID，再同 iPhone 用戶收發 iMessage，對方見到嘅照樣係藍色泡泡。新版有 14 日免費試用，之後月費 2.99 美元，年費 24.99 美元；官方話反應、指定回覆、高畫質影片同群組管理都用到。不過 Sunbird 曾經搞出嚴重保安事故，今次除咗要證明功能正常，仲要令人相信交出 Apple ID 係安全。

舊版衰得唔止係一兩個 bug

Sunbird 2022 年推出，2023 年再成為 Nothing Chats 背後技術，跟住俾研究人員拆出成堆問題。Texts.com 團隊發現 app 曾用冇加密嘅 HTTP 傳送可存取帳戶資料嘅 JWT，訊息會以明文暫存喺 Firebase，聯絡資料、訊息內容同附件網址亦曾送入 Sentry 記錄。研究員仲整到概念驗證工具，示範點樣讀到對話資料。Nothing Chats 好快落架，Sunbird 亦暫停服務，呢段歷史唔可以當普通測試版甩漏咁輕輕帶過。

圖片：Sunbird

新架構點處理 Apple ID 同訊息

Sunbird 話新版已重建傳送架構。用戶連接 iMessage 時，Apple ID 密碼只會用一次建立 session，之後就銷毀；公司聲稱唔保存密碼，亦唔留低可以日後重新登入嘅 authentication token。持續連線由 Apple 自家 Messages 軟件處理，每個用戶各有獨立運行空間，解除連接或刪除帳戶後會一併拆走。呢套講法合理過舊版，不過所有關鍵步驟始終發生喺 Sunbird 控制嘅系統，普通用戶冇方法自己核對。

訊息方面，官方話內容離開手機前已加密，傳送時用 certificate pinning，存在手機就用 AES-256；文字訊息送達後唔會留喺 Sunbird server，圖片同影片通常 48 小時內刪除，最長唔超過 72 小時。要留意，Apple 自家 iMessage 端對端加密只負責送往 iPhone 嘅最後一段，Android 手機、Sunbird 基建同 Apple Messages 之間仲有另一套系統。宣傳句寫「受 iMessage 加密保護」冇講錯，但唔代表成條路都等同兩部 Apple 裝置直接傾偈。

圖片：Sunbird

有審計，但公開證據仲差一截

Sunbird 2024 年曾話保安公司 CIPHER 用 grey-box 方式測試 AV2 架構，重試 2023 年嗰批攻擊後搵唔到重大漏洞。今次行政總裁 Danny Mizrahi 再向 Android Authority 表示，獨立保安公司測過重建版 app 同後端 API，同樣冇發現 critical vulnerability。不過外界暫時睇唔到新版完整報告、測試範圍、版本編號、發現過咩中低風險問題，同修補結果。「冇重大漏洞」係公司轉述嘅測試結論，證據力度仲未去到公開審計或者多隊研究員各自驗證。

資料披露亦有可疑之處。Google Play 頁面一邊顯示 app 可能同第三方分享個人資料，一邊又寫「No data collected」，而頁面亦講明資料安全內容由開發者自行申報。Sunbird 私隱政策就列明 app 帳戶會收集電郵同密碼，連接外部訊息服務時亦會接收登入資料，只係聲稱唔儲存。兩邊可能採用唔同定義，但一款要經手 Apple ID 同私人對話嘅 app，披露寫得咁含糊，難免再扣信心分。

藍色泡泡而家值幾多風險？

iPhone 已支援 RCS，Android 同 iPhone 之間基本傳相、已讀提示同較現代化群組訊息，比 2022 年順手得多，Sunbird 解決緊嘅痛點自然細咗。佢仍然啱某啲一定要加入 iMessage 群組、又唔想買 Apple 裝置嘅人，但代價係多信任一層第三方基建，仲要承受 Apple 改技術或政策後服務隨時失靈。官方話 app 可喺全球使用，不過香港 Google Play 帳戶能否下載同訂閱暫時未有獨立確認。等新版俾更多保安研究員拆解過，再考慮用一個冇其他 iCloud 資料嘅獨立 Apple ID，會穩陣得多。

參考來源

• Android Authority — Sunbird is back, bringing iMessage to Android (again) — original report
• Sunbird 官方產品頁及安全說明 — 核對訊息保存、媒體檔刪除時限、Apple ID 密碼處理同加密架構。
• Sunbird 私隱政策 — 核對 app 帳戶、外部服務登入資料、裝置資料同跨境處理安排。
• Sunbird: iMessage for Android — Google Play — 確認 app 已重新上架、更新日期、下載量級同開發者申報嘅資料安全內容。
• Sunbird / Nothing Chats is Not Secure — 2023 年逆向研究原文，記錄 HTTP、JWT、Firebase 明文訊息同 Sentry 資料暴露問題。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。