Tinder: niet-versleutelde foto's onthulden activiteit via gedeelde wifi

Onderzoekers toonden in 2018 aan dat de mobiele apps van Tinder foto's zonder versleuteling verstuurden. Iemand op hetzelfde wifi-netwerk kon zien welke profielen de gebruiker bekeek en wat diegene naar links of rechts veegde. Tinder heeft het probleem datzelfde jaar verholpen.

Wat er gebeurde

Beveiligingsbedrijf Checkmarx liet zien dat de iOS- en Android-apps van Tinder profielfoto's zonder HTTPS-versleuteling verstuurden. Iemand op hetzelfde wifi-netwerk kon de foto's zien die de gebruiker te zien kreeg en ze zelfs vervangen. De rest van het verkeer was versleuteld, maar de datapakketten hadden verschillende groottes. Daardoor konden veegbewegingen en matches toch worden afgelezen. De onderzoekers maakten een demonstratietool die de volledige sessie reconstrueerde. Later dat jaar bevestigde Match Group schriftelijk dat de foto's voortaan versleuteld werden en dat de gegevens over veegbewegingen waren aangepast, zodat alle handelingen datapakketten van dezelfde grootte opleverden.

Wat is gedocumenteerd

• WIRED beschrijft een werkende demonstratie waaruit bleek dat foto's konden worden onderschept en vervangen en dat veegbewegingen konden worden afgelezen.
• PCMag vermeldt de schriftelijke bevestiging van Match Group dat de problemen in februari en juni 2018 zijn verholpen.

Wat is niet vastgesteld

• Er is niet aangetoond dat gebruikers daadwerkelijk slachtoffer zijn geworden van kwaadwillige aanvallen.
• Dit is een technische kwetsbaarheid, geen uitspraak van een rechtbank of toezichthouder.
• Het probleem is verholpen en mag niet worden voorgesteld als iets dat vandaag nog actief is.

Wat dit voor jou betekent

1. Dit is een historisch probleem, geen bewijs dat Tinder vandaag onveilig is.
2. De zaak laat zien dat alleen foto's beschermen niet genoeg is. Ook gegevens over wat je in de app doet, kunnen je blootstellen.
3. Wees extra voorzichtig met gevoelige apps op openbare netwerken, zoals wifi in cafés en hotels.