Tinder: Ukrypterede billeder afslørede aktivitet på delt wi-fi

Forskere viste i 2018, at Tinders mobilapps sendte billeder uden kryptering. En person på det samme wi-fi-netværk kunne se, hvilke profiler brugeren kiggede på, og hvad vedkommende swipede på. Tinder rettede fejlen samme år.

Hvad skete der

Sikkerhedsvirksomheden Checkmarx viste, at Tinders apps til iOS og Android sendte profilbilleder uden HTTPS-kryptering. En person på det samme wi-fi-netværk kunne se de billeder, brugeren fik vist, og endda udskifte dem. Resten af trafikken var krypteret, men datapakkerne havde forskellig størrelse. Derfor kunne man stadig aflæse swipes og matches. Forskerne lavede et demonstrationsværktøj, der genskabte hele sessionen. Senere samme år bekræftede Match Group skriftligt, at billederne nu var krypteret, og at swipe-data var blevet justeret, så alle handlinger gav datapakker af samme størrelse.

Hvad er dokumenteret

• WIRED beskriver en fungerende demonstration af, at billeder kunne opsnappes og udskiftes, og at swipes kunne aflæses.
• PCMag gengiver Match Groups skriftlige bekræftelse på, at fejlene blev rettet i februar og juni 2018.

Hvad er ikke fastslået

• Der er ikke dokumentation for, at brugere faktisk blev ramt af ondsindede angreb.
• Dette var en teknisk sårbarhed, ikke en afgørelse fra en domstol eller tilsynsmyndighed.
• Fejlen er rettet og bør ikke fremstilles som aktiv i dag.

Hvad det betyder for dig

1. Dette var en historisk fejl, ikke bevis på, at Tinder er usikker i dag.
2. Sagen viser, at det ikke er nok at beskytte billeder. Data om, hvad du gør i en app, kan også afsløre dig.
3. Vær ekstra forsigtig med følsomme apps på åbne netværk som café- og hotel-wi-fi.