Tinder: niezaszyfrowane zdjęcia ujawniały aktywność w ramach wspólnej sieci Wi-Fi

W 2018 roku badacze wykazali, że aplikacje mobilne Tindera przesyłały zdjęcia bez szyfrowania. Osoba korzystająca z tej samej sieci Wi-Fi mogła zobaczyć, które profile przeglądał użytkownik i jakie przesunięcia wykonywał. Tinder naprawił błąd w tym samym roku.

Co się stało

Firma zajmująca się bezpieczeństwem Checkmarx wykazała, że aplikacje Tindera na iOS i Androida przesyłały zdjęcia profilowe bez szyfrowania HTTPS. Osoba korzystająca z tej samej sieci Wi-Fi mogła zobaczyć zdjęcia wyświetlane użytkownikowi, a nawet je podmienić. Pozostały ruch był szyfrowany, ale pakiety danych miały różne rozmiary. Dzięki temu można było mimo wszystko odczytać przesunięcia i dopasowania. Badacze stworzyli narzędzie demonstracyjne, które odtwarzało całą sesję. Jeszcze w tym samym roku Match Group potwierdziła na piśmie, że zdjęcia są już szyfrowane, a dane o przesunięciach zostały zmodyfikowane tak, by wszystkie działania miały ten sam rozmiar.

Co jest udokumentowane

• WIRED opisuje działającą demonstrację pokazującą, że zdjęcia można było przechwytywać i podmieniać, a przesunięcia odczytywać.
• PCMag przytacza pisemne potwierdzenie Match Group, że błędy naprawiono w lutym i czerwcu 2018 roku.

Czego nie ustalono

• Nie udokumentowano, by jacykolwiek użytkownicy rzeczywiście padli ofiarą złośliwych ataków.
• To podatność techniczna, a nie orzeczenie sądu ani decyzja organu nadzorczego.
• Błąd został naprawiony i nie należy przedstawiać go jako nadal aktywnego.

Co to oznacza dla ciebie

1. To historyczny błąd, a nie dowód na to, że Tinder jest dziś niebezpieczny.
2. Sprawa pokazuje, że sama ochrona zdjęć nie wystarczy. Dane o tym, co robisz w aplikacji, również mogą ujawnić informacje na twój temat.
3. Zachowuj szczególną ostrożność podczas korzystania z aplikacji zawierających wrażliwe dane w otwartych sieciach, takich jak Wi-Fi w kawiarniach i hotelach.