上周五，数万张图片从第三方Snapchat应用程序上开始在互联网上流传，引发隐私警报，并引发了对这一流行照片共享应用的短暂性的新批评。Snpachat很快宣布问题不是他们自己的安全。”我们可以确认Snapchat的服务器从未被破坏，也不是这些泄密的来源，”Snapchat的一位代表在一份声明中说Snapchatters使用第三方应用程序发送和接收快照而受害，我们明确禁止这种做法，因为它们损害了用户的安全性。我们警惕地监控App Store和Google Play是否存在非法的第三方应用程序，并成功地删除了其中许多应用程序。”

然而，对于许多人来说，问题在于Snapchat是否在技术层面上对非关联应用进行了安全保护，从而足以保护其用户。最大的问题是Snapchat没有官方的API，但它的非官方API是一个公开的秘密，在网络上广泛传播。这意味着Snapchat依赖于苹果和谷歌等其他公司来最终监管哪些应用程序是安全的和可用的。自2012年以来，安全研究人员adamcaudill一直警告称，该公司的API存在几个严重的安全漏洞，这是许多其他研究人员附议的。

我们采访了一位开发人员，Alex Forbes Reed，他说他最近对Snapchat的API进行反向工程并没有遇到任何问题，他怀疑SnapSaved的工程师也很容易做同样的事情，SnapSaved是据称被盗照片的来源(snapsave承认自己遭到了黑客攻击，不过它对被盗数据的数量提出了异议。）下面是对福布斯里德（Forbes Reed）的一次采访，讲述了他开发非官方Snapchat应用程序的经历。

您是如何对Snapchat API进行反向工程的？我在iPhone上安装了官方的Snapchat应用程序，在我的笔记本电脑上安装了一个名为Charles的应用程序（这是一个网络嗅探器，它允许我监视通过家庭网络的所有流量），并在我的设备上安装了一个自定义证书（由Charles创建）。该证书再次对通过我的设备的所有“安全”https流量进行签名，从而允许Charles（在我的PC上）监视加密的流量并查看其中的情况。

然后，我像往常一样开始使用这个应用程序，在Charles'UI中，我可以看到应用程序所做的请求，以及它在这些请求中发送和接收的内容。

“一旦图像进入Snapchat服务器，它就不再是私有的。”

Snapchat有什么保护措施来防止这种情况？就像我之前说过的，所有的流量都是https（已经比Instagram好了，我的一个朋友Stevie Graham发现了一种通过单个http端点利用它的方法），但是它们有一个二进制模式，用于为每个请求生成唯一的密钥。问题是，这个二进制模式存储在应用程序中，对每个用户来说都是一样的——而且有人已经把它发布到网上了，所以我甚至不需要查看iOS可执行文件来提取密钥——所以现在，我刚开始向snapchat发送请求，但它不知道这些请求不是来自官方客户。

你在创建什么样的应用程序？它是针对Windows Phone的第三方Snapchat客户端-没有Snapchat不需要的任何功能，因此无法保存快照等。

Snapchat可以做些什么来阻止您这样做？在访问API方面，他们做不了什么。也许如果他们转向使用OAuth，会减慢研究人员的速度，但不会阻止他们。例如，如果你看看windowsphone的应用商店，它缺乏大量的第一方应用程序，但人们还是开发了第三方应用程序。每个公司都是这个潜在的攻击向量的受害者。

“API中仍然存在漏洞，这些漏洞需要Snapchat修复才能被利用。”

它从一开始就需要一个完全不同的体系结构吗？当然，Snapchat可以通过多种方式清理它们的API。版本，这样他们就可以在不破坏应用程序以前版本的情况下更新API——目前他们只能对新的端点/变量进行黑客攻击。另外，目前每个快照都使用相同的AES密钥加密—对此没有什么办法，因为这会破坏对旧客户端的支持。为帐户添加速率限制，这样一个帐户就不能发送垃圾邮件和快照(这将减少可怕的snapchat广告垃圾邮件。）

尽管如此，如果你将Snapchat的安全现状与六个月前相比，它的安全性有了很大的提高。他们解决了一些主要问题，包括从用户那里获取电话号码，以及大量注册帐户。但是API中仍然存在漏洞，在漏洞被利用之前，由Snapchat来修复这些漏洞。

第三方应用程序（比如被黑客攻击的应用程序）是否天生就不如官方Snapchat应用程序安全？如果是，为什么？是的，根据他们的定义。当某些东西不是第一方的时候，你不能保证你看不到的代码没有做恶意的事情。在Snapchat中，任何第三方应用程序都可以保存您帐户的身份验证令牌并从您的帐户远程提取快照。或者收集你朋友的垃圾邮件列表。或者访问你的电子邮件地址和电话号码，然后在网上销售。对于第一方客户，它所做的一切都是在服务条款上，你一般可以相信公司不会违反这些条款，因为风险是巨大的。

对于第三方应用程序，打破服务条款一点也不冒险。我可以将一个应用发布到应用商店，它违反了我自己的条款或条件，而我身上最糟糕的事情（取决于严重程度）将被我的应用程序从应用商店中提取。根本就没有惩罚。

对于那些既想保护用户又想培育第三方应用生态系统的应用程序开发者来说，你认为最好的解决方案/方法是什么？

把它打开。如果Snapchat走上了Facebook、Twitter和地狱之路，哪怕是哟！，所有第三方应用程序都会有自己的身份验证令牌，如果某个应用程序被发现做了一些恶意的事情，他们可以撤销这些令牌，那么该应用程序就会死亡。现在，他们所能做的就是要求苹果/谷歌/微软把它取下来——这需要时间，而且仍然意味着这个应用程序可能会给最终用户带来问题。他们还可以看到哪些应用程序在做什么，这些分析可以显示Snapchat，如果一个应用程序正在做一些看起来恶意的事情。

拉塞尔·布兰多姆对这份报告做出了贡献。