热门交友应用Tinder被曝安全漏洞:黑客可轻松获照片等信息_最新动态_新闻资讯_程序员俱乐部

中国优秀的程序员网站程序员频道CXYCLUB技术地图
热搜:
更多>>
 
您所在的位置: 程序员俱乐部 > 新闻资讯 > 最新动态 > 热门交友应用Tinder被曝安全漏洞:黑客可轻松获照片等信息

热门交友应用Tinder被曝安全漏洞:黑客可轻松获照片等信息

 2018/1/25 1:16:11    程序员俱乐部  我要评论(0)
  • 摘要:最新研究表明,热门约会交友应用Tinder目前仍缺乏必要的加密技术,确保用户照片、滑动操作和匹配信息的私密性。本周二,以色列移动应用信息安全公司Checkmarx的研究人员指出,Tinder仍缺乏基本的HTTPS加密技术。只要与Tinder用户处于相同的WiFi网络中,研究人员就可以查看该用户的任何照片,甚至将其他照片注入到用户的照片流中。此外,尽管Tinder的其他数据通过HTTPS技术进行了加密,但Checkmark发现,Tinder泄露了足够多的信息,从而让黑客可以识别出加密命令
  • 标签:应用 漏洞 安全漏洞 黑客

  最新研究表明,热门约会交友应用 Tinder 目前仍缺乏必要的加密技术,确保用户照片、滑动操作和匹配信息的私密性。

  本周二,以色列移动应用信息安全公司 Checkmarx 的研究人员指出,Tinder 仍缺乏基本的 HTTPS 加密技术。只要与 Tinder 用户处于相同的 WiFi 网络中,研究人员就可以查看该用户的任何照片,甚至将其他照片注入到用户的照片流中。

  此外,尽管 Tinder 的其他数据通过 HTTPS 技术进行了加密,但 Checkmark 发现,Tinder 泄露了足够多的信息,从而让黑客可以识别出加密命令,处于同一 WiFi 网络的黑客可以很容易地查看用户手机上的每一次滑动操作和匹配。研究人员认为,缺乏保护机制将带来许多问题,包括信息被偷窥,以及可能的敲诈勒索。

  Checkmarx 应用信息安全研究经理埃利泽·耶伦(Erez Yalon)表示:“我们可以准确模拟用户在屏幕上看到的东西。你知道所有一切:他们在干什么,他们的性取向是什么,以及其他许多信息。”

  为了展示 Tinder 的漏洞,Checkmarx 开发了概念验证软件 TinderDrift。如果将安装该软件的笔记本电脑连接至 Tinder 用户所在的 WiFi 网络,那么软件就可以自动重建整个会话。

  TinderDrift 利用的最主要漏洞在于,Tinder 缺少 HTTPS 加密机制。该应用通过不受保护的 HTTP 协议去传输图片,因此网络上的任何人都可以很容易地窃取这些信息。此外,研究人员还使用了额外的技巧,从 Tinder 已加密的数据中提取信息。

  Checkmarx 表示,已于 11 月通知 Tinder 这个问题,但问题尚未解决。

  Tinder 发言人在回应中称:“与其他科技公司一样,我们在与恶意黑客的斗争中持续提升自己的防御能力。”他同时指出,Tinder 上的个人资料照片是公开的。(但基于这些照片的用户互动,例如滑动和匹配操作并不是。)此外他还表示,网页版 Tinder 实际上已经实现了 HTTPS 加密,而该公司计划在更大的范围内应用这项技术。

  他表示:“我们也尝试在应用中加密图像。不过,我们不会进一步透露所使用的信息安全工具,或是我们即将部署的优化的细节,以免被黑客攻击。”

  过去几年,对所有重视隐私保护的应用和网站来说,HTTPS 已成为事实标准。Checkmarx 的研究人员表示,尽管加密在某些情况下会增加性能成本,但当代服务器和手机可以轻松处理这些额外开销。耶伦指出:“现在没有任何理由不使用 HTTPS。”

  Checkmarx 表示,为了修复这些漏洞,Tinder 不仅应当对照片加密,还应在应用中“填充”其他命令,让每条命令看起来都是同样大小,使这些命令在随机数据流中无法被识别。

发表评论
用户名: 匿名