Lek maakt privégegevens gebruikers homo-dating-app Grindr toegankelijk - update

Studenten van de Universiteit van Amsterdam hebben beveiligingslekken gevonden in de Grindr-app, een dating-applicatie voor homoseksuele mannen. Het lek zou de persoonlijke gegevens en locatiedata van potentieel alle gebruikers inzichtelijk maken.

Studenten van de opleiding System and Network Engineering vonden de gaten in de beveiliging van Grindr, zo meldt Security.nl op basis van een onderzoeksdocument dat online is geplaatst. Volgens de studenten kunnen door de beveiligingsproblemen potentieel van alle gebruikers de persoonlijke gegevens worden gestolen. Ook is het mogelijk om de locatie van de gebruikers te achterhalen. Grindr kent ongeveer vier miljoen gebruikers. De studenten stellen het lek aan Grindr te hebben bekendgemaakt alvorens tot publicatie over te gaan, maar onduidelijk is of de makers achter de app de beveiliging inmiddels hebben verbeterd.

Het beveiligingslek zou in de sleuteluitwisseling van de door Grindr gebruikte aes-encryptie zitten. Communicatie tussen de gebruiker en de servers van Grindr zou gemakkelijk te ontcijferen zijn. Vervolgens keken de studenten naar de functie van de Grindr-app die de 24 dichtstbijzijnde gebruikers toont. De server stuurt voor deze functie een token mee dat verwijst naar een onafgeschermd gebruikersprofiel. Daardoor kunnen kwaadwillenden alle informatie van de bewuste gebruiker achterhalen, ook als deze door de gebruiker als niet-publiekelijk is gemarkeerd.

Door deze methode lopen potentieel de persoonlijke gegevens van alle gebruikers van Grindr risico. Wanneer zij opduiken in de functie die de 24 dichstbijzijnde gebruikers toont kunnen hun gegevens achterhaald worden. Overigens zou ook het chatverkeer ontcijferd kunnen worden met deze methode, aangezien deze van hetzelfde tokensysteem gebruikmaakt.

Grindr is een datingapplicatie voor homoseksuelen. Een van de belangrijkste functies is om gebruikers te tonen die zich in de buurt bevinden. De app is beschikbaar voor Android, iOS en BlackBerry.

Update 25 oktober: een van de auteurs van het onderzoek zegt op GoT dat Grindr de beveiligingsproblemen inmiddels heeft verholpen.

Reacties (78)

Quote uit het artikel op security.nl:
Nadat Grindr door de studenten werd ingelicht heeft het direct actie ondernomen. In samenspraak met de UvA is een responsible disclosureprocedure opgestart. Grindr heeft op 30 september een nieuwe versie van de app gelanceerd die alle problemen oplost. Gebruikers krijgen het advies om de update zo spoedig mogelijk te installeren.

Beetje jammer dat tweakers dit stuk achterwege laat, aangezien dit onderzoek nu uit wordt gelicht alsof alle kwetsbaarheden open en bloot op straat worden gegooid. Dit is dus -niet- het geval! modjes, wellicht een aanvulling op dit artikel waaruit duidelijk wordt dat de beveiligingsproblemen op zijn gelost, en pas hierna over is gegaan tot publicatie van het rapport?

In de paper staat ook wanneer het onderzoek is uitgevoerd, dat is al maanden geleden.

[Reactie gewijzigd door battler op 25 oktober 2013 06:32]

Dit soort onderzoeken laten zien hoe je beveiliging kan controleren. Er staat echter niet bij vermeld of er nog (veel) meer applicaties met een bepaalde motivatie onderzocht zijn zonder enig resultaat.

Daarbij vind ik het niet erg netjes om na te laten te vermelden of Grinder het lek heeft verholpen en waarom de onderzoekers het reeel achten om na 30 dagen al klakkeloos publiek te gaan met het resultaat. Onder verantwoord vrijgeven van de resultaten versta ik dat je alle mogelijke moeite doet om de ontwikkelaars de mogelijkheid te geven kennis te nemen van het probleem en het te verhelpen. Dit mis ik compleet in deze zogenaamde responsible disclosure.

Dit is de enige applicatie die onderzoch is.

Het onderzoek is al maanden geleden uitgevoerd. Dat dit nu pas naarbuiten komt is iets anders.

Je hebt totaal geen idee hoeveel werk in zo'n onderzoek gaat zitten. Je gaat ook even compleet voorbij aan het feit dat de studenten dit onbetaald doen en dat applicatie-ontwikkelaars dit soort dingen gewoon zelf moeten testen.

Daarnaast, er zijn wel degelijk heel duidelijke afspraken gemaakt en er is heel nauwkeurig een responsible disclosure procedure gevolgd. Als jij denkt te zien dat dat niet zo is dan hoor ik graag waar.

Hm dan nu maar hopen dat het lek snel gedicht wordt. Lijkt me niet zo gemakkelijk want dan moet het hele encryptie systeem op de schop of lees ik dat verkeerd?

Ik vraag me sowieso af hoe veilig al die chat applicaties zijn.


Edit: ik ben trouwens benieuwd hoeveel tweakers hierop gaan reageren, want als hetero tweaker wil je natuurlijk niet met homoseksualiteit geassocieerd worden. En dus is het het beste om dit artikel professioneel te negeren

[Reactie gewijzigd door Anoniem: 22438 op 24 oktober 2013 21:26]

*haalt schouders op*

Ik ben homo. Boeiend; we leven in 2013, niet in de middeleeuwen. Iedereen die daar een probleem mee heeft kan wat mij betreft kapot vallen. Door de tijd wordt je daar heel makkelijk in om mensen te dumpen die alleen maar een negatieve invloed op je hebben.

Kan heus wel tegen een grapje over homo's en moet er op zijn tijd best om lachen, ook al kun je de "punchline" al van mijlen ver zien aankomen. Zolang het allemaal vriendelijk blijft en er geen hatelijke gedachte achter zit vind ik het prima. Aanstellen is tenslotte ook een vak.

Wat de app betreft; ik ben niet zo gecharmeerd van dergelijke dating-sites. Vroeger nog wel eens een account op Gayromeo gehad omdat het geheel gratis was. Veel van die sites willen op een begeven moment dat je gaat betalen om berichten te sturen. Ze sturen je dan een geautomatiseerd bericht zodat het lijkt dat er iemand interesse in je heeft en als je wilt reageren mag je dus de portemonnee trekken. Daar pas ik voor.

Ook worden er veel valse profielen aangemaakt door criminele organisaties die aan je persoonsgegevens willen komen. Er worden dan willekeurige foto's gebruikt en er wordt dan via een aantal sessies geprobeerd om je geld afhandig te maken. Vaak onder het mom van "Laten we ontmoeten, zou je mij geld voor de trein / vliegtuig willen sturen ?" Ik heb zelfs al gezien dat er gebruik gemaakt wordt van hele slimme automatische software waar amper nog een mens aan te pas komt.

Bovendien zitten er op de bekende sites veel te veel debielen. Je kan nog zo duidelijk in je profiel zetten dat je iemand van je eigen leeftijd (bij mij rond de 30) zoekt en op den duur een serieuze relatie wilt, maar vervolgens wordt je aangeschreven door 50 (of zelfs 60) plussers die hopen je voor een one-night stand mee te krijgen of activiteiten van bedenkelijke aard met je willen delen. Wij dachten het niet, nee.

Nu is zo'n digitaal lek vaak moeilijk te voorkomen. We mogen blij zijn dat Nederland over het algemeen toch een redelijk veilige plek is voor homo's, bi's en lesbiennes. Dat zulke data op straat komt te liggen is natuurlijk erg vervelend; zeker als er mensen bij kunnen waarvan je liever niet wilt dat ze je geaardheid kennen.

Het wordt een stuk gevaarlijker als zulke incidenten gebeuren in landen waar homoseksualiteit niet geaccepteerd wordt. Je kunt denken aan de meeste Arabische landen, Rusland, China en grote delen van Afrika. Daar zou je het risico lopen om opgesloten of zelfs vermoord te worden.

https://www.youtube.com/watch?v=c_-dnh5dhMY

Interessante documentaire, maar ook heel erg beangstigend. Op dat vlak worden veel problemen veroorzaakt door extremistische religiën. In het geval van deze documentaire gaat het over de invloed van het christendom. Stel je voor dat je gegevens in zulke plekken op straat kwamen te liggen ... moet er niet aan denken ...

[Reactie gewijzigd door Titan_Fox op 24 oktober 2013 22:15]

Wat je allemaal voor 'problemen' beschrijft met homo datingsites gebeurt op 'gewone' datingsites ook. Ook daar zijn betere en slechtere sites qua aanbod.

Maar vergeet even in je betoog hier dat het gaat om een homodating app. Het gaat hier om een app waar je je bij aanmeld en die in de gaten houdt waar jij bent. 24 uur per dag. Dat heb je zelf aangezet, je krijgt er leuke functionaliteit voor terug, maar je gaat ervan uit dat het allemaal wel beveiligd is.

Dan is er een beveiligingsincident met de app, het wordt gefixt en men belooft beterschap. Daarna wordt er door studenten nog eens een onderzoek gedaan en wat blijkt: men kan naar willekeur gegevens opvragen van alle mensen die de app gebruiken. Waar ze zijn, wat voor gegevens ze geregistreerd hebben en men kan het ook nog eens zomaar veranderen.

Zoiets is ernstig, heel erg ernstig. Dat het om homo's gaat die in sommige landen flink problemen kunnen krijgen maakt het mijns inziens alleen maar erger.

[Reactie gewijzigd door Neelix op 25 oktober 2013 11:28]

Off Topic: Vooruit dan, nog 1 mopje.

Wat zegt een homofiele uil? Joehoe.

On Topic:
Veel zaken die je hier noemt gelden ook voor hetero dating sites.
Feit is natuurlijk wel dat homoseksualiteit niet overal geaccepteerd wordt. Daar heb je groot gelijk in. Dan wordt 1 en 1 ineens 3 als er problemen ontstaan.

Off Topic: Vooruit dan, nog 1 mopje.

Wat zegt een homofiele uil? Joehoe.

Tjonge jonge ... daar heb ik wel even een slokje (Lambrusco / Prosecco) voor nodig

On Topic:
Veel zaken die je hier noemt gelden ook voor hetero dating sites.
Feit is natuurlijk wel dat homoseksualiteit niet overal geaccepteerd wordt. Daar heb je groot gelijk in. Dan wordt 1 en 1 ineens 3 als er problemen ontstaan.

Daar heb je uiteraard wel gelijk in. De toon is wel anders volgens mij. In de gay-scene ligt de nadruk heel erg op seks. Grindr is tenslotte hét trefpunt voor one-night stands. Als je een relatie zoekt, heb je daar in feite niks te zoeken. Op GayRomeo overigens ook niet.

Als ik al een keer reacties kreeg van mannen van mijn eigen leeftijd waren het altijd van die figuren met kapsones of met een fetisj waar ik echt helemaal niks mee kon beginnen. Normale, rustige en serieuze mannen zijn er schaars. Heel erg schaars. In het verleden wel eens wat mensen ontmoet, maar daar werd je echt niet vrolijk van. De ene had nog een groter jeugdtrauma dan de ander ... brrr ...

Maar goed, om even terug te komen op het onderwerp; Grindr is (volgens Wikipedia) in 192 landen actief. Je kunt dus wel op je klompen aanvoelen dat daar zeker een aantal landen tussen zitten die op het gebied van seksualiteit minder modern zijn dan Nederland. Dat daar je persoonsgegevens op straat komen te liggen kan ontaarden in een regelrechte ramp.

[Reactie gewijzigd door Titan_Fox op 25 oktober 2013 01:09]

Ja, dus op Grinder niets invullen behalve leeftijd en wat algemene kenmerken (waarom zou je daar sowieso je naam of adres op willen zeggen? Of moet dat voor een betaalfunctie?). En je foto er niet op zetten als je in een raar land woont/bent. Dan valt er niet zoveel te lekken dat tot jou persoonlijk terug te leiden is, zou ik zeggen?

Wat betreft Grinder en sex, sommigen denken daar anders over: vrienden van mij zeggen dat het daar natuurlijk ook voor wordt gebruikt, maar dat het ook een gewone datingsite is, waarbij mensen alleen gemakkelijk dichtbij zijn, zodat een biertje drinken in een café laagdrempelig is en geen big deal. Ik weet het niet zo...

Ik ben homo. Boeiend; we leven in 2013, niet in de middeleeuwen.

Als het aan een bepaalde bevolkingsgroep ligt gaan we hier in no-time weer terug in de tijd hoor.
Mocht het zover komen, en dat is helaas niet eens zo onwaarschijnlijk als je misschien zou denken of hopen, dan mag jij je schouders op proberen te halen als je aan de strop hangt.

We veronderstellen de huidige "tolerante" situatie als vanzelfsprekend maar het is nog geen 70 jaar geleden dat dat toch even anders was hier. Dat is dus, zeg maar, één levensduur geleden.

En helaas is er op dit moment nog steeds een hele grote groep figuren die uit zijn op wereldheerschappij en die homo's (en nog veel en veel meer) absoluut niet tolereren.

Een maatschappij, met de daarbij behorende wetgeving, kan ontzettend snel veranderen en mensen gigantisch in de problemen brengen.
Het is onderdeel van de privacydiscussie. "Ze doen maar want ik heb toch niks te verbergen". Onzin! Iedereen heeft wat te verbergen. En dat hoeft helemaal niet gelijk crimineel te zijn o.i.d.

Nog geen twee jaar geleden (als ik het goed heb) was de regering in Indonesië bijvoorbeeld ineens zo verlicht om internetporno te verbieden. Erg handig als daar de gegevens van leden van pornowebsites gelekt zou zijn. Dan hoeven ze gelijk niet meer zo te zoeken naar "overtreders". Een hoop potentiele "criminelen" kunnen ze dan zo in de gaten houden en/of oppakken.

Het punt is dat wetten niet zo onaantastbaar zijn als men zo makkelijk denkt. En dan kan je zomaar de klos zijn. Ook de wet die zegt dat je niet veroordeeld kan worden voor acties uit het verleden toen een nieuwe wet nog niet geldig was, kan veranderen.

Het zal mij overigens een worst wezen of je homo bent of niet.

Als het aan een bepaalde bevolkingsgroep ligt gaan we hier in no-time weer terug in de tijd hoor.

Dat denk ik niet. Nu zelfs de paus heeft gezegd dat mensen niet be- of veroordeeld moeten worden op hun geaardheid, denk ik wel dat we de tijd van eenkennigheid voorbij zijn. Daarbij niet ontkennend dat het in grote delen van de wereld nog wel onderdrukt wordt, maar het is en wordt veel minder dan het was. Die stugge marginalen gaan op een gegeven moment ook dood en de jeugd staat er veel anders tegenover (opener en/of onverschilliger).

Nog geen twee jaar geleden (als ik het goed heb) was de regering in Indonesië bijvoorbeeld ineens zo verlicht om internetporno te verbieden. Erg handig als daar de gegevens van leden van pornowebsites gelekt zou zijn. Dan hoeven ze gelijk niet meer zo te zoeken naar "overtreders". Een hoop potentiele "criminelen" kunnen ze dan zo in de gaten houden en/of oppakken.

Alcohol is ook ooit verboden, met als gevolg de opkomst van het grootste criminele syndicaat ooit: de Maffia. Drugs is ook verboden in veel landen, maar nergens kun je er zo makkelijk aan komen als juist ín die landen (hoe hoger de straffen, hoe hoger de prijs per eenheid, niet de beschikbaarheid). Een verbod op geaardheid en/of levensovertuiging is nóg moeilijker te onderdrukken, want het gaat daar niet om goederen, maar om een idee of een visie. You can't kill an idea.
@MSalters: Ooit gehoord van Little Italy in New York? Er waren ten tijde van de drooglegging veel Italiaanse immigranten in New York, via die weg is het zo gekomen. En mij is juist drugs aangeboden in de VS, het land met die gekke War on Drugs.

[Reactie gewijzigd door TDeK op 25 oktober 2013 09:30]

Katholieken waren de laatste eeuw al redelijk tolerant. Orthodox christenen, gereformeerden, etc zijn aanmerkelijk minder tolerant, en we zullen het maar niet eens over moslims hebben.

En wat je zegt over de Maffia is natuurlijk onzin. De Maffia is van origine italiaans (zuid-italiaans zelfs); de drooglegging Amerikaans. Net zo goed onzin is je idee dat drugs overal te krijgen zijn. De enige plek waar iemand mij ooit probeerde (hard)drugs te verkopen is Amsterdam, uiteraard omdat ze daar niet eens optreden tegen harddrug verkopers.

Hallo zeg, je kan ook wel erg overdrijven hoor. Alsof er alleen maar een groep vieze ouwe nichten met een rubber fetisj dat op 15 jaar jonger publiek aast, op Grindr de dienst uitmaakt. Ik gebruik hem naar tevredenheid al drie jaar en Gayromeo nog wat langer. Tuurlijk zitten er wel eens griezels tussen waarvan een chromosoom te veel is omgevallen, maar dan is het gewoon heel simpel... dan block je die persoon. Als je opzoek bent naar een relatie kom je idd bedrogen uit, zoiezo vrij kansloos om te denken dat een foto en korte profieltekstje de opstap zijn naar net die ene man van je dromen.

Hoe jij er bij komt dat criminele bendes actief zijn op Gayromeo en Grindr is mij echt een raadsel. Ik heb nog nooit zo'n bericht gekregen, wellicht een keer of twee waarvan ik het niet enigzins niet vertrouwde, maar zeer zeker niet berichten of ik dan wel de tickets naar Aruba kon voorschieten omdat we elkaar daar gaan zien na al die weken.

Verder is gayromeo gewoon prima te gebruiken zonder maar ook ergens voor hoeven te betalen. Of je zit in de escort rubriek.

De nadruk op seks in de gayscene... Ja dus en wat dan nog? Wel eens op Badoo gekeken? Daar wordt netzo veel gejaagd voor een onenight stand of fuckbuddie. En vrouwen zijn daar netzo goed in als mannen for that matter.

Maar goed, overdrijven en van een mug een olifant maken is typerend voor een (groot) deel van de gayscene, evenals misplaatst zelfmedelijden en een verzuurde instelling, "Want oh oh oh, gut gut gut wat heb ik het toch zwaar , nog zo steeds zonder vriendje"
Maar op één punt geef ik je gelijk, ik ben nog nooit zoveel mannen met een complex tegengekomen, die bij het minste van het geringste de kans aangrijpen om een ander op te zadelen met hun personal issues.

[Ontopic] Gelukkig is het probleem opgelost, en dat hebben ze vrij rap gedaan ook als je bedenkt dat er al dik twee jaar fiks werd geklaagd over bugs in de app. Vooral het keer op keer kwijtraken van berichten of 8 keer hetzelfde bericht binnenkrijgen nadat de app dagen achter elkaar crashde was een zeer grote bron van ergernis, waar de ontwikkelaar gewoon niet adequaat op reageerde.
[/Ontopic]

nou, we leven niet meer in de eighties hoor. Ik denk dat we dat stadium voorbij zijn.

Je bedoeld voor hetero tweakers zonder voldoende zelfvertrouwen, of juist die tweakers die hun coming out party niet hebben gehad?
Volgens mij zijn homo's die het zelf nog niet 100% weten het felst tegen homo's.

Hoe dan ook, ondanks dat het een vrij land is en we best tolerant tegen homo's zijn kan het alsnog veel beter.
Ik kan me voorstellen dat sommige kerels hier niet bepaald blij mee zijn.

Je vergeet bi, travo en transgenders nog.

Zo zie je maar weer dat je nooit meer privé-gegevens aan een applicatie of website moet geven dan absoluut noodzakelijk. Voor daten lijkt me geboortejaar meer dan genoeg, maar natuurlijk ook een foto, en met Grind ook dus je locatie...dat is al best wel veel, eigenlijk. Maar je echte naam, adres, en precieze geboortedatum zou ik nooit opgeven.

Het is al bij al niet zo erg, echt belangrijke persoonlijke data staat daar niet op. Zelfs geen geboortedatum of adres. Je leeftijd is static, daarnaast kan je enkel nog je lengte invullen en gewicht.
Niets speciaal dus.

Dat is inderdaad niet zo veel; maar dat kun je toch sowieso al zien als je in de buurt bent? Aangezien deze hack ook alleen werkt als je in de buurt van iemand bent, zou dat niet veel uitmaken, als ik het goed begrijp. Maar ik dacht dat het ging om andere gegevens, zoals misschien bankrekening als je een betaald account hebt? En natuurlijk die chatgeschiedenis. Die is misschien niet tot een echte naam te herleiden, maar toch behoorlijk privé.

hmm 10 min googlen en volgens mij (50% aangezien er 2 kandidaten zijn en ik niet zo veel tijd hier in wil steken) weet ik je naam, leeftijd, telefoon type, opleidingen, werk ervaring etc.

Tuurlijk, op Tweakers zet ik mijn/onze website in mijn profiel, waardoor het gemakkelijk is mijn naam op te sporen. En als je mijn naam hebt, heb je mijn Facebook en wat daar opstaat. Mijn telefoon, huidige adres, en geboortedatum, die zou je niet zo gemakkelijk moeten kunnen achterhalen, toch? In elk geval, ik zou op een datingsite nooit een link plaatsen naar een website waar mijn naam opstaat...

Ik denk dat dit probleem door velen wordt onderschat. Ik ben zelf niet homosexueel maar vrijwel elke homo die ik ken is of was lid van een grinder soort app.
In Nederland is zo een lek misschien onschuldig maar wat als de gegevens ook in Iran lekken? dan zullen ze galgen te kort hebben.. of wat als Rusland deze gegevens in handen krijgt?

Daar loert het gevaar dan inderdaad. Zo'n lek kan door opsporingsinstanties of overheden worden misbruikt om aan persoonlijke gegevens te komen van homoseksuelen. In delen van de Arabische wereld en Afrika wordt je daar ter dood veroordeeld.

Misschien is dit ook wel een herinnering voor iedereen om eens goed stil te staan welke gegevens ze online plaatsen. Velen zijn op dit vlak ongelooflijk naïef en roekeloos.

Ja, en recentelijk werd de app in Turkije geblokkeerd: http://www.vice.com/nl/read/grindr-vs-turkey

Een schisma-volle wereld...

Wow, dat wist ik niet. Erdogan is inderdaad best wel erg eigenlijk.

Gelukkig moet er nog wel een beetje moeite gedaan worden.
Als de gegevens voor elke eindgebruiker makkelijk te vinden zijn is er een groter probleem.

Hopen voor iedereen die het gebruikt dat het snel opgelost is.

Ach ja welk social media platform is tegenwoordig nog wel veilig.. Om maar eens een even een open deur in te trappen: De NSA kijkt met u mee.
Je moet gewoon selectief zijn met welke informatie je openbaar maakt.. en JA ik heb Grindr in het verleden ook wel gebruikt
Off topic: die 'achterdeur grappen' zijn wel heel puberaal, dacht dat op dit forum volwassen mensen zaten

Edit: off topic stukje, typo

[Reactie gewijzigd door keigezellig123 op 24 oktober 2013 22:50]

Misschien goed om nog even toe te voegen dat Grindr afgelopen juli z'n beveiliging opnieuw heeft aangepast

offtopic:
@ Iedereen; de grappen kunnen jullie nu wel achterwege laten.

Jammer dat er dan weer een lek is, wel goed dat men deze dan ontdekken en aankaarten..

Hoe onrespectvol kun je zijn.

Hoop dat het lek, voor de gebruikers, snel gedicht wordt en ze weer, zonder zorgen te maken, verder kunnen met het zoeken van een partner.