Bumble, Hinge et d'autres applications ont dû remédier aux risques liés à la confidentialité, selon une étude

Les chercheurs ont découvert que certaines des principales applications de rencontres laissaient la localisation des utilisateurs susceptible d'être révélée par des acteurs malveillants.

Les applications de rencontre demandent aux utilisateurs de divulguer des informations sensibles, et pas seulement les rêves romantiques d'une personne. La plupart du temps, ces applications demandent des données personnelles comme votre nom, votre âge et votre localisation. Dans le cas de ces dernières, un nouveau document détaille que, pendant un certain temps, plusieurs applications majeures ont laissé la localisation des utilisateurs exposée par des adversaires potentiels.

Vulnérabilités de localisation des applications de rencontres

Dans un nouveau rapport de l'université belge KU Leuven, intitulé « Swipe Left for Identity Theft », des chercheurs analysent les risques potentiels pour la vie privée de 15 applications de rencontre géolocalisées (LBD) ayant été téléchargées au moins 10 millions de fois. De nos jours, les applications de rencontre sont généralement géolocalisées afin d'aider les utilisateurs à trouver des partenaires physiquement proches d'eux. Cependant, en exigeant la géolocalisation, elles exposent les utilisateurs à des risques potentiels.

Toutes les applications, à l'exception d'une seule, utilisaient la distance entre les utilisateurs pour mesurer la localisation. (Cette exception, TanTan, une application de rencontre asiatique, utilisait des coordonnées exactes une seule fois au moment de la mise en relation, et seulement si elles correspondaient.) « Cependant, en l'absence de protections suffisantes, la disponibilité des distances peut toujours conduire à la déduction de la localisation d'un utilisateur », indique le document. « Cela se fait par trilatération. »

La trilatération est le processus de détermination de la localisation en mesurant les distances entre trois triangles (ou cercles, ou sphères). Il existe différents types d'applications de trilatération utilisées pour déterminer la localisation. Les auteurs — Karel Dhondt, Victor Le Pochat, Yana Dimova, Wouter Joosen et Stijn Volckaert — ont découvert qu'ils étaient capables de localiser presque exactement un emplacement dans six applications sur 15, comme le rapporte TechCrunch.

Quelles applications de rencontres présentaient des vulnérabilités en matière de localisation ?

La vulnérabilité la plus courante était celle de la « trilatération d'oracle », qui, comme l'explique l'article, « les adversaires utilisent un oracle qui indique par un signal binaire si une victime se trouve à proximité, c'est-à-dire lorsqu'elle se trouve à une « distance de proximité » définie de l'attaquant. »

Hinge, Bumble, Badoo (qui appartient à Bumble) et Hily étaient susceptibles d'être victimes d'une telle trilatération.

Un porte-parole de Hinge a déclaré à Indigo Buzz :

Chez Hinge, la sécurité et la confidentialité de nos utilisateurs sont toujours une priorité absolue. Notre application est conçue selon une approche de confidentialité dès la conception et protège strictement les données sensibles des utilisateurs. Nous sommes fiers de notre programme de recherche de bugs de pointe et de notre dialogue continu avec les chercheurs, qui sont conçus pour attirer les commentaires afin que nous puissions procéder à des ajustements avant que des dommages ne soient causés à nos utilisateurs. Nous avons examiné les commentaires de cette équipe de recherche lorsque nous les avons reçus au début de l'année 2023 et avons immédiatement pris les mesures appropriées.

Un porte-parole de Bumble a déclaré à TechCrunch et à Indigo Buzz : « Nous avons été informés de ces conclusions début 2023 et avons rapidement résolu les problèmes évoqués. En tant qu'entreprise mondiale avec des membres dans des pays du monde entier, nous nous engageons à protéger la vie privée de nos utilisateurs et avons adopté une approche mondiale du respect de la vie privée. »

Cette déclaration s'applique également à Badoo, a déclaré Bumble à Indigo Buzz.

Dmytro Kononov, CTO et co-fondateur de Hily, a partagé cette déclaration avec TechCrunch :

Les résultats ont indiqué une possibilité potentielle de trilatération. Cependant, dans la pratique, il était impossible d'exploiter ce phénomène pour des attaques. Cela est dû à nos mécanismes internes conçus pour nous protéger contre les spammeurs et à la logique de notre algorithme de recherche… Malgré cela, nous avons mené de vastes consultations avec les auteurs du rapport et développé en collaboration de nouveaux algorithmes de géocodage pour éliminer complètement ce type d'attaque. Ces nouveaux algorithmes sont mis en œuvre avec succès depuis plus d'un an maintenant.

Grindr était vulnérable à la « trilatération de distance exacte ». Cela peut se produire lorsque les services révèlent les distances exactes par rapport aux autres utilisateurs. Les auteurs ont pu déterminer la position des utilisateurs à une distance aussi proche que 111 mètres (environ 364 pieds). La trilatération de distance exacte était possible même lorsque la distance était masquée, comme en Égypte où Grindr cache la position de tous les utilisateurs pour des raisons de sécurité.

« La proximité que Grindr offre à cette communauté est primordiale pour permettre aux utilisateurs d'interagir avec leurs proches », a déclaré Kelly Peterson Miranda, responsable de la confidentialité chez Grindr, à TechCrunch. « Comme c'est le cas de nombreux réseaux sociaux et applications de rencontre géolocalisés, Grindr a besoin de certaines informations de localisation pour connecter ses utilisateurs à ceux qui se trouvent à proximité… Les utilisateurs de Grindr contrôlent les informations de localisation qu'ils fournissent. »

Enfin, l'application happn était vulnérable à la « trilatération à distance arrondie », ce qui peut se produire si une application utilise une localisation arrondie par mesure de précaution. La PDG et présidente de happn, Karima Ben Abdelmalek, a déclaré à TechCrunch :

Après examen des résultats de l'étude par notre responsable de la sécurité, nous avons eu l'occasion de discuter de la méthode de trilatération avec les chercheurs. Cependant, happn dispose d'une couche de protection supplémentaire au-delà du simple arrondi des distances… Cette protection supplémentaire n'a pas été prise en compte dans leur analyse et nous avons convenu mutuellement que cette mesure supplémentaire sur happn rend la technique de trilatération inefficace.

Il semble que pour les applications présentant ces vulnérabilités, les applications ont pris des mesures pour empêcher les mauvais acteurs de déterminer la localisation de l'utilisateur à l'aide de la trilatération, à l'exception de Grindr.

Quelles applications de rencontres n’étaient pas vulnérables ?

Selon l'article, Tinder et LOVOO ont utilisé le « grid snapping » pour empêcher la trilatération. Le grid snapping est une technique qui consiste à diviser l'emplacement d'une personne en une grille de carrés. Les coordonnées (c'est-à-dire l'endroit où se trouvent les utilisateurs) sont déplacées vers le centre de ces carrés (Tinder) ou vers le côté droit (LOVOO) et la distance est mesurée à partir de là. Par conséquent, leur distance réelle est inexacte et ne peut pas être trilatérée.

Plenty of Fish et Meetic n'accèdent pas aux positions GPS. MeetMe, Tagged et OkCupid accèdent à ces informations, mais elles les convertissent en fonction de la ville la plus proche. Les auteurs n'ont pas pu effectuer de rétro-ingénierie des informations dont ils avaient besoin pour TanTan et Jaumo, ils n'ont donc pas pu tester cette méthode pour trouver les emplacements des utilisateurs.

L'article montre l'importance de la prudence lors de l'utilisation des applications de rencontre. Comme le conclut l'article : « Nous espérons que la prise de conscience que nous apportons à ces problèmes incitera les fournisseurs d'applications LBD à reconsidérer leurs pratiques de collecte de données, à protéger leurs API (interfaces de programmation d'applications) « Protégez-vous des fuites de données, empêchez les inférences de localisation et donnez aux utilisateurs le contrôle de leurs données et donc, en fin de compte, de leur vie privée. »