Tinder: Okrypterade bilder avslöjade aktivitet på delat wifi

Forskare visade 2018 att Tinders mobilappar skickade bilder utan kryptering. Någon på samma wifi-nätverk kunde se vilka profiler användaren tittade på och vad hen svepte på. Tinder åtgärdade felet samma år.

Vad hände

Säkerhetsföretaget Checkmarx visade att Tinders appar för iOS och Android skickade profilbilder utan HTTPS-kryptering. En person på samma wifi-nätverk kunde se bilderna som visades för användaren och till och med byta ut dem. Resten av trafiken var krypterad, men datapaketen hade olika storlek. Det gjorde det ändå möjligt att utläsa svepningar och matchningar. Forskarna skapade ett demonstrationsverktyg som återskapade hela sessionen. Senare samma år bekräftade Match Group skriftligen att bilderna nu var krypterade och att svepdata hade justerats så att alla handlingar gav datapaket av samma storlek.

Vad är dokumenterat

• WIRED beskriver en fungerande demonstration av att bilder kunde avlyssnas och bytas ut, och att svepningar kunde utläsas.
• PCMag återger Match Groups skriftliga bekräftelse på att felen åtgärdades i februari och juni 2018.

Vad har inte fastställts

• Det finns ingen dokumentation om att några användare faktiskt utsattes för skadliga attacker.
• Detta var en teknisk sårbarhet, inte ett beslut från en domstol eller tillsynsmyndighet.
• Felet har åtgärdats och ska inte framställas som aktivt i dag.

Vad detta betyder för dig

1. Det här var ett historiskt fel, inte ett bevis på att Tinder är osäkert i dag.
2. Fallet visar att det inte räcker att skydda bilder. Uppgifter om vad du gör i en app kan också avslöja dig.
3. Var extra försiktig med känsliga appar på öppna nätverk, till exempel kafé- och hotellwifi.