mwc
Celem aplikacji randkowych jest umożliwienie poznania innych osób i przeżycia czegoś fajnego, a nie rozdawanie danych osobowych na lewo i prawo. Niestety, korzystanie z takich programów nierozerwalnie wiąże się z kwestiami dotyczącymi bezpieczeństwa i prywatności. Podczas konferencji MWC21 Tatiana Sziszkowa, starszy analityk szkodliwego oprogramowania w firmie Kaspersky, przedstawiła raport na temat bezpieczeństwa aplikacji do randkowania przez internet. Dziś opowiemy, jakie wnioski wyciągnęła po przeanalizowaniu prywatności i bezpieczeństwa, jakie zapewniają najpopularniejsze serwisy do randek online, a także co mogą zrobić użytkownicy, aby ich dane były bezpieczne.
Bezpieczeństwo aplikacji randkowych: co zmieniło się w ciągu czterech lat
Nasi eksperci przeprowadzili podobne badanie kilka lat temu. Po sprawdzeniu dziewięciu popularnych usług w 2017 roku doszli do smutnego wniosku, że aplikacje randkowe mają poważne problemy z bezpiecznym przesyłaniem danych użytkowników, a także ich przechowywaniem i udostępnianiem innym. Oto główne zagrożenia ujawnione w raporcie za 2017 r.:
- Sześć z dziewięciu badanych aplikacji nie ukrywało lokalizacji użytkownika.
- Cztery umożliwiały poznanie prawdziwych imion i nazwisk użytkowników oraz odnalezienie ich kont w innych sieciach społecznościowych.
- Cztery zapewniały osobom postronnym możliwość przechwycenia danych przesyłanych dalej przez aplikację, wśród których mogły znajdować się informacje poufne.
Postanowiliśmy sprawdzić, czy w 2021 roku coś się zmieniło. Nasze badanie skoncentrowaliśmy wokół dziewięciu najpopularniejszych aplikacji randkowych: Tinder, OKCupid, Badoo, Bumble, Mamba, Pure, Feeld, Happn i Her. Lista ta różni się nieznacznie od tej z 2017 roku, ponieważ nieco inny jest rynek randek online. Mimo to najczęściej używane aplikacje pozostają takie same jak cztery lata temu.
Bezpieczeństwo przesyłania i przechowywania danych
Na przestrzeni czterech lat bezpieczeństwo przesyłania danych między aplikacją a serwerem znacznie się poprawiło. Po pierwsze, wszystkie dziewięć aplikacji, które sprawdzaliśmy tym razem, korzysta z szyfrowania. Po drugie, wszystkie wyposażone są w mechanizm przeciwko atakom polegającym na fałszowaniu certyfikatu: po wykryciu nieprawdziwego certyfikatu aplikacje zwyczajnie przestają przesyłać dane. Aplikacja Mamba dodatkowo wyświetla ostrzeżenie, że połączenie jest niezabezpieczone.
Jeśli chodzi o dane przechowywane na urządzeniu użytkownika, potencjalny atakujący nadal może uzyskać do nich dostęp, zdobywając uprawnienia superużytnika (roota). Jest to jednak raczej mało prawdopodobny scenariusz. Poza tym taki dostęp przez niewłaściwą osobę sprawia, że urządzenie jest w zasadzie bezbronne, więc kradzież danych z aplikacji randkowej jest w tym przypadku najmniejszym problemem.
Hasło wysłane pocztą e-mail jawnym tekstem
Dwie z dziewięciu analizowanych aplikacji — Mamba i Badoo — wysyłają hasło nowo zarejestrowanego użytkownika e-pocztą w postaci zwykłego tekstu. Ponieważ wiele osób nie przejmuje się zmianą hasła natychmiast po rejestracji (o ile w ogóle) i nie przywiązuje do kwestii bezpieczeństwa poczty zbyt dużej wagi, nie jest to dobrą praktyką serwisu. Po włamaniu się na pocztę użytkownika lub przechwyceniu takiej wiadomości e-mail potencjalny atakujący może poznać hasło i użyć go do uzyskania dostępu do konta (chyba że w aplikacji randkowej zostało włączone uwierzytelnianie dwuskładnikowe).
Obowiązkowe zdjęcie profilowe
Jednym z problemów usług randkowych jest to, że zrzuty ekranu rozmów lub profili użytkowników mogą zostać wykorzystane do doxingu, shamingu i innych szkodliwych celów. Niestety spośród dziewięciu aplikacji tylko jedna, Pure, pozwala utworzyć konto bez konieczności wgrywania swojego zdjęcia (np. pozwala użyć takiego, którego nie można łatwo powiązać z użytkownikiem). Ponadto uniemożliwia ona wykonywanie zrzutów ekranu. Z kolei Mamba oferuje bezpłatną opcję rozmycia zdjęć, co pozwala na wyświetlanie zdjęć tylko przez wybrane osoby. Część pozostałych aplikacji również oferuje tę funkcję, ale tylko za opłatą.
Aplikacje randkowe i sieci społecznościowe
Wszystkie aplikacje, o których mowa — oprócz Pure — pozwalają użytkownikom zarejestrowanie się za pośrednictwem konta w sieci społecznościowej, najczęściej Facebook. W rzeczywistości jest to jedyna opcja dla tych, którzy nie chcą udostępniać aplikacji swojego numeru telefonu. Jeśli jednak czyjeś konto na Facebooku nie jest wystarczająco „przekonujące” (np. ma zbyt wiele nowych lub zbyt mało znajomych), najprawdopodobniej konieczne będzie wprowadzenie swojego numeru telefonu.
Problem polega na tym, że większość aplikacji automatycznie pobiera zdjęcia profilowe z Facebooka na nowe konto użytkownika. W ten sposób można powiązać konto aplikacji randkowej z kontem w mediach społecznościowych.
Ponadto wiele aplikacji randkowych pozwala, a nawet zaleca użytkownikom łączenie swoich profili z innymi sieciami społecznościowymi i usługami online, takimi jak Instagram i Spotify, dzięki czemu nowe zdjęcia i ulubiona muzyka są automatycznie dodawane do ich konta. I chociaż nie ma niezawodnego sposobu na zidentyfikowanie konta w innej usłudze, informacje profilowe w aplikacji randkowej z pewnością mogą pomóc w znalezieniu kogoś na innych stronach internetowych.
Lokalizacja, lokalizacja, lokalizacja
Najbardziej kontrowersyjnym aspektem aplikacji randkowych jest najprawdopodobniej konieczność podania swojej lokalizacji. Na dziewięć przebadanych przez nas aplikacji aż cztery — Tinder, Bumble, Happn i Her — wymagają obowiązkowego dostępu do geolokalizacji. Trzy umożliwiają ręczną zmianę dokładnych współrzędnych na region ogólny, ale tylko w wersji płatnej. Happn nie ma takiej opcji, ale w płatnej wersji pozwala ukryć informacje o odległości między Tobą a innymi użytkownikami.
Mamba, Badoo, OkCupid, Pure i Feeld nie wymagają obowiązkowego dostępu do geolokalizacji i pozwalają ręcznie określić miejsce swojego pobytu, nawet w wersji darmowej. Ale oferują one automatycznie wykrywanie współrzędnych. Szczególnie w przypadku Mamby odradzamy udzielanie aplikacji dostępu do danych geolokalizacyjnych, ponieważ potrafi ona określać odległość od innych z przerażającą dokładnością zaledwie jednego metra.
Ogólnie rzecz biorąc, jeśli użytkownik zezwala aplikacji na pokazywanie jego odległości, przeważnie nietrudno można obliczyć jego miejsce pobytu za pomocą triangulacji i programów do zmiany lokalizacji. Na cztery aplikacje randkowe, które wymagają podania danych geolokalizacyjnych, tylko dwie — Tinder i Bumble — uniemożliwiają korzystanie z takich programów.
Podsumowanie
Z czysto technicznego punktu widzenia bezpieczeństwo aplikacji randkowych uległo znaczącej poprawie w ciągu ostatnich czterech lat — wszystkie usługi, które badaliśmy, używają teraz szyfrowania i zapewniają ochronę przed atakami typu man-in-the-middle. Większość aplikacji oferuje programy bug-bounty, które pomagają im w łataniu poważnych luk w ich produktach.
Ale jeśli chodzi o prywatność, tu sytuacja nie jest tak różowa: aplikacje niezbyt chętnie chronią użytkowników przed nadmiernym udostępnianiem danych. Ludzie często publikują o sobie znacznie więcej, niż wskazuje rozsądek, zapominając lub ignorując możliwe konsekwencje: doxing, stalking, wyciek danych itp.
Oczywiście problem nadmiernego udostępniania danych nie ogranicza się do aplikacji randkowych —nie lepiej jest z sieciami społecznościowymi. Ale ze względu na ich specyficzny charakter aplikacje randkowe często zachęcają użytkowników do udostępniania danych, których prawdopodobnie nie publikują oni nigdzie indziej. Co więcej, usługi randkowania przez internet zwykle mają mniejszą kontrolę nad tym, komu dokładnie użytkownicy udostępniają te dane.
Dlatego wszystkim użytkownikom aplikacji randkowych (i innych) zalecamy, aby rozsądniej decydowali o tym, co można udostępniać.
Porady