偷滑肌肉男被發現?交友軟體Tinder爆漏洞,5千萬用戶配對過程遭外洩

2018.01.24 by
高敬原
shutterstock
受到全球歡迎活躍用戶數達5千萬的交友軟體Tinder,最近被以色列安全公司Checkmarx發現部分資訊缺乏HTTPS加密機制,用戶的配對過程有可能暴露在外洩的風險下。

手機交友App成為許多人認識新對象的管道,拿出手機輕輕一滑,照片、基本資料都能大致掌握,但這同時也代表了平台上存有從興趣、照片、身高體重甚至性取向等個人私密資訊。

受到全球歡迎活躍用戶數達5千萬的交友軟體Tinder,最近就被一家安全公司發現部分的資訊缺乏HTTPS加密的機制,若被有心人士利用,就能遠端掌握用戶交友的習慣以及使用軌跡,不僅隱私可能受到侵犯,嚴重的話甚至會被用來作為親密關係間勒索的籌碼。

Tinder爆出漏洞,滑過對象通通能被掌握

來自以色列特拉維夫的App安全公司Checkmarx的研究人員發現,Tinder手機App內的資料雖然都受到HTTPS的加密保護,但缺乏對於照片、使用軌跡、配對結果,三項資訊的基礎HTTPS加密機制。

研究發現任何iOS、Android用戶只要跟研究人員使用同一個Wi-Fi ,用戶曾經瀏覽過的照片、約會對象全部都可以一清二楚的掌握,甚至可以將自己的照片插入配對的排序中。研究人員警告,這樣的漏洞除了會有隱私被偷窺的疑慮,甚至私密資訊外洩可能遭到有心人士勒索的風險。「我們可以完全模仿用戶在他手機上所看到的畫面。」Checkmarx安全研究主管Erez Yalon表示,這項漏洞可以掌握所有用戶在Tinder上的使用軌跡,甚至是個人性取向等許多私密資訊。

為了測試Tinder有多脆弱,Checkmarx 團隊打造了一款叫「Tinder Drift」的軟體,只要連接上其他Tinder用戶正在使用的Wi-Fi,就可以在電腦上幾乎重建用戶使用的情境,缺乏HTTPS加密的Tinder除了可以讓人遠端掌握用戶瀏覽過的檔案,研究人員還發現,即便是在加密的模式之下,仍可透過識別軟體中的不同位元組(bytes),來判斷用戶的使用軌跡。

來自以色列的App安全公司Checkmarx的研究人員發現,Tinder上的安全漏洞可以讓有心人士掌握用戶的使用軌跡。
shutterstock

例如,在Tinder上向左滑拒絕對象是278 bytes、往右滑喜歡是374 bytes,如果雙方配對成功就是581 bytes,只要透過這些規律,再搭配未加密資訊擷取下來的圖片,TinderDrift就能分辨用戶在Tinder操作的結果,只要被有心人士將兩項漏洞組合在一起,就會構成嚴重的隱私問題。

不過用戶可以稍微喘口氣的是,研究人員發現這個漏洞僅能掌握用戶配對的過程,一旦配對完後雙方傳訊息的內容很安全,是無法被攻破的。

Checkmarx研究人員展示Tinder Drift如何突破Tinder的漏洞。

HTTPS能確保資訊傳輸私密性

Checkmarx團隊表示,他們在去年11月已經通知Tinder他們所發現的問題,但截至目前公司仍未修復這項漏洞。Tinder 發言人表示,「如同多數的科技公司,我們一直在努力抵抗惡意駭客。」並表示網頁版的Tinder有受到HTTPS加密保護,並打算將保護層面擴大,正在努力對手機App照片進行加密工作。

HTTPS(Hypertext Transfer Protocol Secure,縮寫:HTTPS) 是超文本傳輸安全協定的意思,這個協定最早在1994年首次由網景公司(Netscape)提出,HTTPS主要的功能是在不安全的網路上建立一個安全的通道,並在使用加密套件、被信任伺服器憑證的情況下提供防護,確保網頁在傳輸過程中不被變造或竄改。HTTPS廣泛使用在交易支付和企業傳輸敏感訊息的系統中,並在2010年開始廣泛用於保護所有類型網站的帳戶、用戶身分以及私密性。

缺乏HTTPS加密的機制,若被有心人士利用,就能遠端掌握用戶交友的習慣以及使用軌跡。
shutterstock

而台灣在HTTPS使用呢?去年十月,民進黨立委余宛如曾表示,台灣目前1,089 個政府網站,僅有11.2%的比例使用HTTPS,甚至總統府、國安局、外交部這類高度需要安全防護的網站皆未使用HTTPS,因此飽受批評;另外,台北市政府去年推出的一站式繳費平台 pay.taipei ,推出不久就被法國網域服務供應商Gandi.net 亞洲區總經理 Thomas Kuiper發現pay.taipei 的App沒有使用HTTPS,甚至密碼還是以純文字傳送,安全度受到質疑,事後台北市資訊局也緊急應變修復了這項缺失。

Checkmarx 建議,未來Tinder不僅要將照片加密,還必須修補配對過程的指令漏洞,讓每條指令看起來都一樣,防止被有心人士利用,並提醒在Tinder釋出修補前,用戶必須當心在App上的交友軌跡有洩露的風險。

每日精選科技圈重要消息