Dziura w Tinderze pozwala podglądać użytkowników

Wygląda na to, że ktoś w Tinderze zapomniał o tym, jak ważne jest zabezpieczanie się. Okazało się bowiem, że zdjęcia użytkowniczek i użytkowników przesyłane są do aplikacji w postaci niezaszyfrowanej.

Dla hakerów było to zaproszenie, z którego nie omieszkali skorzystać. Po wejściu od tyłu w informacje z aplikacji okazało się, że mogą nawet pokazać nagą prawdę o tym, czy profil został przesunięty w lewo, czy w prawo. I czy ewentualne zainteresowanie było obopólne.

Dla osób obawiających się tak bezceremonialnego gwałtu na intymności i prywatności mamy dobrą wiadomość – przeszpiegi w programie TinderDrift można prowadzić wtedy, gdy telefon podglądanego podłączony jest do tej samej sieci Wi-Fi, co komputer należący do podglądającego.

Tak wykorzystanie luki wygląda w praktyce

Szyfrowanie to za mało

Dane dotyczące wyborów czynionych przez użytkowników w stosunku do prezentowanych im profili zostały zabezpieczone zgodnie z regułami sztuki. Okazało się jednak, że czasem to nie wystarczy.

Badaczom nie udało się co prawda dotrzeć do treści komunikatów wysyłanych na serwer Tindera po przesunięciu profilu w lewo lub prawo, odkryli jednak coś innego – alerty różniły się wielkością.

Zamiast więc próbować złamać szyfr, wystarczyło policzyć liczbę bitów określających daną reakcję. W identyczny sposób udało się skorelować informacje o odnalezieniu połączenia lub wyłania superlajka.

Tinder został powiadomiony o występowaniu luki w listopadzie 2017 roku - postanowiono jednak zignorować informacje. W oficjalnym stanowisku przedstawiciele aplikacji stwierdzili, że zdjęcia nie są szyfrowane, gdyż z założenia wystawione są na pokaz publiczny.

Do kwestii przyporządkowania rozmiaru komunikatów do poszczególnych akcji nie odniesiono się. Problem jest jednak stosunkowo prosty do naprawienia – wystarczy, żeby przesyłane paczkimiały identyczne rozmiary.