Tinder : des images non chiffrées révélaient l’activité sur un réseau Wi-Fi partagé

En 2018, des chercheurs ont montré que les applications mobiles de Tinder transmettaient des images sans chiffrement. Une personne connectée au même réseau Wi-Fi pouvait voir les profils consultés par l’utilisateur et ses gestes de balayage. Tinder a corrigé le problème la même année.

Ce qui s'est passé

La société de sécurité Checkmarx a montré que les applications Tinder pour iOS et Android transmettaient les photos de profil sans chiffrement HTTPS. Une personne connectée au même réseau Wi-Fi pouvait voir les photos présentées à l’utilisateur et même les remplacer. Le reste du trafic était chiffré, mais les paquets de données étaient de tailles différentes. Il était donc toujours possible de déduire les gestes de balayage et les matchs. Les chercheurs ont créé un outil de démonstration qui reconstituait l’intégralité de la session. Plus tard la même année, Match Group a confirmé par écrit que les images étaient désormais chiffrées et que les données relatives aux gestes de balayage avaient été ajustées afin que toutes les actions produisent des paquets de même taille.

Ce qui est documenté

• WIRED décrit une démonstration opérationnelle montrant que les images pouvaient être interceptées et remplacées, et que les gestes de balayage pouvaient être déduits.
• PCMag rapporte la confirmation écrite de Match Group selon laquelle les problèmes ont été corrigés en février et en juin 2018.

Ce qui n'a pas été établi

• Aucun élément ne prouve que des utilisateurs ont effectivement été victimes d’attaques malveillantes.
• Il s’agit d’une vulnérabilité technique, et non d’une décision de justice ou d’une autorité de contrôle.
• Le problème a été corrigé et ne doit pas être présenté comme étant encore actif aujourd’hui.

Ce que cela signifie pour vous

1. Il s’agit d’un problème historique, pas d’une preuve que Tinder est peu sûr aujourd’hui.
2. Cette affaire montre que protéger les photos ne suffit pas. Les données sur vos activités dans l’application peuvent également vous exposer.
3. Soyez particulièrement prudent avec les applications sensibles sur les réseaux ouverts, comme le Wi-Fi des cafés et des hôtels.