Tinder: Ukrypterte bilder avslørte aktivitet på delt wifi

Forskere viste i 2018 at Tinders mobilapper sendte bilder uten kryptering. Noen på samme wifi kunne se hvilke profiler brukeren så på og hva hun eller han sveipet. Tinder rettet feilen samme år.

Hva skjedde

Sikkerhetsselskapet Checkmarx viste at Tinders apper for iOS og Android sendte profilbilder uten HTTPS-kryptering. En person på samme wifi-nett kunne se bildene brukeren fikk opp, og til og med bytte dem ut. Resten av trafikken var kryptert, men datapakkene hadde ulik størrelse. Dermed kunne man likevel lese av sveip og matcher. Forskerne laget et demonstrasjonsverktøy som gjenskapte hele økten. Senere samme år bekreftet Match Group skriftlig at bildene nå ble kryptert, og at sveipedata var justert slik at alle handlinger fikk samme størrelse.

Hva er dokumentert

• WIRED beskriver en fungerende demonstrasjon av at bilder kunne avlyttes og byttes ut, og at sveip kunne leses av.
• PCMag gjengir Match Groups skriftlige bekreftelse på at feilene ble rettet i februar og juni 2018.

Hva er ikke fastslått

• Det er ikke dokumentert at noen brukere faktisk ble rammet av ondsinnede angrep.
• Dette er en teknisk sårbarhet, ikke en avgjørelse fra domstol eller tilsyn.
• Feilen er rettet og skal ikke framstilles som aktiv i dag.

Hva dette betyr for deg

1. Dette er en historisk feil, ikke bevis på at Tinder er usikker i dag.
2. Saken viser at beskyttelse av bilder ikke er nok. Også data om hva du gjør i appen kan avsløre deg.
3. Vær ekstra varsom med sensitive apper på åpne nettverk som kafé- og hotell-wifi.