Eine Gruppe von Forschern hat herausgefunden, dass böswillige Benutzer oder Stalker aufgrund von Schwachstellen im Design einiger Dating-Apps, darunter der beliebten Apps Bumble und Hinge, den Standort ihrer Opfer auf bis zu zwei Meter genau bestimmen konnten.
In eine neue wissenschaftliche Arbeithaben Forscher der belgischen Universität KU Leuven ihre Ergebnisse bei der Analyse von 15 beliebten Dating-Apps detailliert beschrieben. Von diesen wiesen Badoo, Bumble, Grindr, happn, Hinge und Hily alle dieselbe Schwachstelle auf, die einem böswilligen Benutzer hätte helfen können, den nahezu genauen Standort eines anderen Benutzers zu ermitteln, so die Forscher.
Während keine dieser Apps genaue Standorte angibt, wenn sie die Entfernung zwischen den Benutzern in ihren Profilen anzeigt, haben sie genaue Standorte für die „Filter“-Funktion der Apps verwendet. Im Allgemeinen können Benutzer mithilfe von Filtern ihre Partnersuche anhand von Kriterien wie Alter, Größe, Art der gewünschten Beziehung und, ganz wichtig, Entfernung anpassen.
Um den genauen Standort eines Zielbenutzers zu bestimmen, verwendeten die Forscher eine neuartige Technik, die sie „Oracle Trilateration“ nennen. Im Allgemeinen Trilaterationdas beispielsweise im GPS verwendet wird, funktioniert, indem drei Punkte verwendet und deren Entfernung relativ zum Ziel gemessen wird. Dadurch entstehen drei Kreise, die sich an dem Punkt schneiden, an dem sich das Ziel befindet.
Die Oracle-Trilateration funktioniert etwas anders. Die Forscher schrieben in ihrem Artikel, dass der erste Schritt für die Person, die den Standort ihres Ziels ermitteln möchte, darin besteht, „den Standort des Opfers grob zu schätzen“, beispielsweise basierend auf dem im Profil des Ziels angezeigten Standort. Dann bewegt sich der Angreifer in Schritten, „bis das Orakel anzeigt, dass das Opfer nicht mehr in der Nähe ist, und dies für drei verschiedene Richtungen. Der Angreifer hat jetzt drei Positionen mit einer bekannten genauen Entfernung, d. h. der vorgewählten Näherungsentfernung, und kann das Opfer trilaterieren“, schrieben die Forscher.
„Es war etwas überraschend, dass bekannte Probleme in diesen beliebten Apps immer noch vorhanden waren“, sagte Karel Dhondt, einer der Forscher, gegenüber Tech. Diese Technik verrät zwar nicht die genauen GPS-Koordinaten des Opfers, „aber ich würde sagen, dass zwei Meter nahe genug sind, um den Benutzer genau zu lokalisieren“, sagte Dhondt.
Die gute Nachricht ist, dass alle Apps, die diese Probleme hatten und die die Forscher kontaktiert haben, nun die Funktionsweise der Distanzfilter geändert haben und nicht mehr anfällig für die Oracle-Trilaterationstechnik sind. Die Lösung bestand laut den Forschern darin, die genauen Koordinaten auf drei Dezimalstellen zu runden, wodurch sie weniger präzise und genau wurden.
„Die Unsicherheit beträgt ungefähr einen Kilometer“, sagte Dhondt.
Ein Sprecher von Bumble sagte, das Unternehmen sei „Anfang 2023 auf diese Erkenntnisse aufmerksam gemacht worden und habe die beschriebenen Probleme rasch gelöst“.
Dmytro Kononov, CTO und Mitbegründer von Hily, erklärte gegenüber Tech in einer Stellungnahme, dass das Unternehmen im Mai letzten Jahres einen Bericht über die Sicherheitslücke erhalten und daraufhin eine Untersuchung durchgeführt habe, um die Behauptungen der Forscher zu überprüfen.
„Die Ergebnisse wiesen auf eine potenzielle Möglichkeit zur Trilateration hin. In der Praxis war es jedoch unmöglich, dies für Angriffe auszunutzen. Dies liegt an unseren internen Mechanismen zum Schutz vor Spammern und an der Logik unseres Suchalgorithmus“, sagte Kononov. „Trotzdem haben wir ausführliche Konsultationen mit den Autoren des Berichts durchgeführt und gemeinsam neue Geokodierungsalgorithmen entwickelt, um diese Art von Angriffen vollständig auszuschließen. Diese neuen Algorithmen werden seit über einem Jahr erfolgreich implementiert.“
Weder Badoo, das Bumble gehört, noch Hinge reagierten auf eine Bitte um Stellungnahme.
Karima Ben Abdelmalek, CEO und Präsidentin von Happn, erklärte Tech in einer per E-Mail versandten Erklärung, dass das Unternehmen im vergangenen Jahr von den Forschern kontaktiert worden sei.
„Nachdem unser Chief Security Officer die Forschungsergebnisse geprüft hatte, hatten wir Gelegenheit, die Trilaterationsmethode mit den Forschern zu besprechen. Allerdings verfügt happn über eine zusätzliche Schutzebene, die über das bloße Runden von Entfernungen hinausgeht“, sagte Ben Abdelmalek. „Dieser zusätzliche Schutz wurde in ihrer Analyse nicht berücksichtigt und wir waren uns einig, dass diese zusätzliche Maßnahme bei happn die Trilaterationstechnik unwirksam macht.“
Die Forscher fanden außerdem heraus, dass eine böswillige Person Nutzer von Grindr, einer anderen beliebten Dating-App, bis auf etwa 111 Meter genau orten konnte. Das ist zwar besser als die 2 Meter, die die anderen Apps erlaubten, aber es könnte laut den Forschern immer noch potenziell gefährlich sein.
„Wir argumentieren, dass 111 Meter, die entsprechende Distanz, die mit dieser Genauigkeit einhergeht, in dicht besiedelten Gebieten nicht ausreicht“, sagte Dhondt.
Grindr macht es unmöglich, unter 111 Meter zu gehen, da es die genauen Standorte der Benutzer auf drei Dezimalstellen rundet. Und als sie sich an Grindr wandten, sagte das Unternehmen, dass dies ein Feature und kein Fehler sei, so die Forscher.
Kelly Peterson Miranda, Chief Privacy Officer bei Grindr, sagte in einer Erklärung: „Für viele unserer Benutzer ist Grindr die einzige Möglichkeit, sich mit der LGBTQ+-Community zu verbinden. Und die Nähe, die Grindr zu dieser Community bietet, ist von größter Bedeutung, um ihnen die Möglichkeit zu geben, mit ihren engsten Vertrauten zu interagieren.“
„Wie viele ortsbasierte soziale Netzwerke und Dating-Apps benötigt Grindr bestimmte Standortinformationen, um seine Benutzer mit Personen in der Nähe zu verbinden“, sagte Miranda und fügte hinzu, dass Benutzer die Anzeige ihrer Entfernung deaktivieren können, wenn sie dies wünschen. „Grindr-Benutzer haben die Kontrolle darüber, welche Standortinformationen sie angeben.“