三年前,Sunbird因为安全漏洞从Google Play下架,这周它悄悄回来了,而且这次要收费——每月2.99美元,买的是安卓手机上的iMessage蓝气泡、表情回应和高清视频。对很多安卓用户来说,这些年最烦的不是发不出消息,而是在iPhone群聊里发个表情,对方收到的却是一句系统提示。Sunbird想接住这个刚需,但它接的方式,是让你把Apple ID密码和消息内容,再一次交给一家自己承认出过安全事故的中间商。
发生了什么
Sunbird App重新上架,定价2.99美元/月,核心卖点没变:蓝气泡、表情回应、高清视频,顺带能在同一个界面收发Google Messages和短信。官方说法是消息"传输中加密,到达后释放",媒体文件通常48小时内删除、最长不超过72小时,Apple ID密码"只用一次建立会话就销毁",不留可以反复登录的token。CEO Danny Mizrahi称一家独立安全审计机构测试过重建后的App,"没有发现严重漏洞"。年内还计划接入WhatsApp、Facebook Messenger,再加一个能总结聊天、起草回复的AI助手。
这两年RCS确实让跨平台通信好了不少,但安卓用户在iMessage群聊里搞坏对方的表情回应、破坏回复引用,这个老毛病依然没根治。这也是Sunbird还有生意可做的原因。
安全故事,拆开看
Sunbird自己描述的加密链路分三段:手机本地用AES-256加密,传输走证书锁定的连接,到iPhone的最后一程由Apple的iMessage端到端加密接管,Sunbird"从不修改、拦截或削弱"。这句话本身没问题,问题是中间那段——消息从安卓设备到最终触达iPhone之间,要经过Sunbird自己的服务器和基础设施,这正是三年前出事的位置。公司说"消息到达后释放",但释放前经过了什么处理、谁能在那个环节看到内容,原文没有细说。
所谓的独立安全审计,目前也只是公司通过媒体转述的一句"没有发现严重漏洞",没有公开报告,也不知道审计范围覆盖了哪些环节。这和"经过全面、公开、持续有效的安全认证"完全是两码事。
- 风险.Apple ID密码"用一次就销毁"这类承诺,用户没有办法自行验证,只能相信公司自己的说法。
我的判断
蓝气泡从来不是一个技术问题,是一门社交焦虑的生意。绿气泡在美国青少年社交圈里被贴上"穷""过时"的标签,已经是被反复报道过的现象,这也是为什么会有人愿意为一个表情颜色付费。Sunbird瞄准的正是这份焦虑,而不是消息本身能不能送达。
真正决定Sunbird能走多远的,不是它这次功能补了多少,而是它能不能扛住两件事:一是苹果会不会像对付Beeper那样,用技术手段封掉它的接入方式;二是用户愿不愿意在一次公开的安全事故之后,继续把Apple ID密码交给同一家公司。"一朝被蛇咬,十年怕井绳"说的就是这种心态——Sunbird现在要做的,恰恰是让被咬过的人重新伸手。
苹果的封闭生态一直靠两件事维持:体验优势,和身份差异带来的社交压力。Sunbird这类第三方客户端解决的是前者的一小部分,却始终碰不到后者的根——只要苹果不松口,类似的中间商就会一茬接一茬地出现、下架、再回来,每一次都拿安全问题做代价,换来的却只是暂时的气泡颜色。这不是第一次,大概率也不是最后一次。