News vom 25.01.2018

Sicherheitslücken in den Tinder-Apps

Ein Artikel von , veröffentlicht am 24.01.2018, bearbeitet am25.01.2018

In bestimmten Situationen können Angreifer in den Datenverkehr bei der Nutzung von Tinder hineinschauen. Die weltweit meist genutzte Dating-App schützt ihre Verbindungen nicht vollständig durch Verschlüsselung und ermöglicht teilweise Musteranalysen.

Mitarbeiter der IT-Firma Checkmarx haben in der Dating-App Tinder zwei Sicherheitslücken gefunden. Diese lassen sich ausnutzen, wenn Opfer und Angreifer das gleiche ungesicherte WLAN nutzen.

Problem: http statt https

Laut ihrer Analyse könnte man zum einen die Fotos einsehen und manipulieren, die Tinder seinen Nutzern präsentiert. Das sei möglich, weil die Übertragung von Bildern über den unsicheren http-Standard und nicht über die modernere https-Verschlüsselung geschieht. Die Attacke ist in der Android- und der iOS-App möglich.

Musteranalysen trotz Verschlüsselung möglich

Zum anderen konnte das Checkmarx-Team in Testangriffen erkennen, wie Nutzer ein Foto bewerten. Das Partner-Matching bei Tinder basiert darauf, dass die App dem Nutzer Profilbilder anderer User vorsetzt. Per Wischgeste signalisiert man dann Desinteresse oder Interesse. Die Übertragung dieser Informationen vom Smartphone zu den App-Servern ist per https verschlüsselt. Die Datenpakete sind aber unterschiedlich groß, und das lässt Rückschlüsse auf die Bewertung zu.

Zum Zeitpunkt, als das Checkmarx-Team die Angriffe mit einem eigens gebastelteten Programm ausgeführt hat, war das Auslesen des Wischverhaltens in der Android-Version von Tinder möglich. Die Mitarbeiter merken aber an, dass das seit der letzten Version deutlich schwerer ist, da die App seitdem die Sicherheitsmethode des Certificate Pinnings einsetzt.

Laut einem Cnet-Artikel hat Checkmarx das Dating-Unternehmen bereits vor einigen Monaten auf die Lücken aufmerksam gemacht.

Dating-Apps stehen immer wieder wegen ihres Umgangs mit Daten in der Kritik. Zuletzt Ende 2017 hatte das IT-Sicherheitsunternehmen Kaspersky auf die ungesicherte Datenübertragung sowie auf weitere Lücken bei Tinder und anderen Apps aufmerksam gemacht.

Geschrieben von

E-Mail

hinweis@mobilsicher.de

PGP-Key

0x3D753571A5FEF1F4

Fingerprint

89A8 1651 BB1F 49E0 7F6E 610D 3D75 3571 A5FE F1F4

Stefan Mey

Stefan Mey ist freier Autor für verschiedene spezialisierte IT-Magazine und für die Technologie-Ressorts IT-ferner Medien. Er interessiert sich für die Auswirkungen von Technologie auf Alltag, Gesellschaft und Politik. Vor allem hält er es für wichtig, die sich überschlagenden Entwicklungen im mobilen Internet fundiert und kritisch zu begleiten. Bis November 2018 hat er das mobilsicher-Team als Redakteur unterstützt.

Weitere Artikel

App-Test 

Kalorienzähler MyFitnessPal: Wer ihn nutzt, ist selber schuld

Die App MyFitnessPal nutzt personenbezogene Daten und Gesundheitsdaten für Werbung, Marketing und Personalisierung und gibt sie hemmungslos an andere Unternehmen weiter. Ein hoher Datenpreis für ein digitales Ernährungstagebuch. Wir raten von der Nutzung ab.

Mehr
Schwerpunkt 

Alles rund um Trojaner, Viren, Schadprogramme

Bei Computern sind sie lange bekannt, bei Mobilgeräten auf dem Vormarsch: Schadprogramme. Doch wie groß ist das Problem wirklich? Braucht man Virenscanner für Smartphones? Und wie wird man eine Infektion wieder los? Mit unseren Beiträgen bleibt Ihr Smartphone gesund.

Mehr
YouTube-Video 

Anleitung: So löschen Sie WhatsApp richtig

Keine Lust mehr auf WhatsApp? Dann denken Sie daran, Ihr Profil zu löschen, bevor Sie die App vom Handy werfen. Nur dann sind Sie wirklich vom Dienst abgemeldet. Im Video zeigen wir, wie das geht.

Ansehen
App-Berechtigungen 

Android: Was bedeutet „Geräteadministrator“?

Mit der Berechtigung "Geräteverwaltung" oder "Geräteadministrator" können Apps Systemfunktionen steuern - zum Beispiel den Bildschirm sperren. Bizarr: In der Berechtigungsvorschau im Google Play-Store wird sie nicht angezeigt. Im Handymenü ist der Punkt gut versteckt. So verwalten Sie die Funktion.

Mehr