Un hacker peut utiliser une appli de rencontres pour suivre vos déplacements

More
3 years 8 months ago #1 by Modérateur
Un hacker français a mis en lumière une faille dans le système de l’application Happn, qui permet de retracer les mouvements d’un utilisateur. Un problème loin d’être nouveau.

Un hacker français a mis en lumière une faille dans le système de l’application Happn, qui permet de retracer les mouvements d’un utilisateur. Un problème loin d’être nouveau.

Sur smartphone, l’activation de la fonction GPS n’est jamais anodine. De nombreuses applications reposent en effet sur la géolocalisation pour fonctionner, à commencer par les plateformes de rencontres. Ainsi, Tinder propose de trouver l’âme soeur parmi les profils situés dans un certain périmètre. Mais c’est probablement Happn (70 millions d’utilisateurs dans le monde) qui sollicite le plus la géolocalisation de nos smartphones.

"Retrouvez qui vous croisez", promet ainsi l’entreprise française, dont le principe repose sur le fait de proposer à ses clients de rencontrer des utilisateurs localisés au même endroit qu’eux au cours de la journée. Happn est donc condamné à suivre ses utilisateurs pour tenir son engagement.

Une méthode bien connue

La mise en avant d’un profil par Happn implique que l’utilisateur se soit retrouvé non loin de notre propre position, sans toutefois que l’on puisse savoir à quel moment - et donc où - cette rencontre s’est effectivement faite. Mais il est toutefois possible d’en savoir davantage en détournant le système.

Pour démontrer ses faiblesses, le hacker Tristan Granier a utilisé une méthode bien connue, baptisée GPS Spoofing, rapportent nos confrères de Numerama. Derrière ce terme barbare se cache un principe plutôt simple: envoyer une position fictive aux serveurs de l’application, pour leur “faire croire” que l’on se situe à un endroit défini à l’avance. En multipliant les faux profils sur Happn, il devient alors possible de simuler des hordes d’utilisateurs virtuels, et de les répartir sur les zones de son choix.

En recoupant les suggestions reçues par ces profils fictif, il devient alors possible d’identifier et de suivre les déplacements d’un utilisateur, en se basant sur la position des différents avatars - créés par le hacker - ayant vu s’afficher son profil successivement.

Toutefois, et malgré ce risque potentiel d’espionnage, il sera impossible de déterminer avec justesse la position d’une hypothétique victime. Pour protéger la vie privée de ses utilisateurs, Happn ne les géolocalise jamais avec précision.

“La position connue par Happn d’un de ses utilisateurs est imprécise et cette imprécision peut aller jusqu'au kilomètre. Le trajet ainsi reconstitué ne peut donc, en aucun cas, être précis. C'est cette imprécision qui garantit la sécurité de nos utilisateurs” se défend l’entreprise auprès de BFM Tech.

Autrement dit, et pour des raisons de protection de la vie privée, il y a de bonne chances que deux personnes mises en relation par Happn pour s’être “croisées” ne se soient en fait jamais aperçues. La méthode utilisée par Tristan Garnier ne permet donc pas de prendre connaissance d’un trajet exact, mais de façon approximative.

Un service moins précis

"Il s'agit d'un sujet récurrent en termes de vie privée, qui est lié au principe de l'application en elle-même. Ces problèmes sont désormais bien documentés, même si certaines applications luttent davantage contre le ‘GPS Spoofing’ que d'autres" tempère Baptiste Robert, spécialiste de la cybersécurité, auprès de BFM Tech.

Une position partagée par Tristan Granier, qui précise que ces risques sont davantage présents sur Happn, qui fait de la géolocalisation des utilisateurs son principal argument commercial. Par le passé, certains concurrents comme Tinder ont toutefois été critiqués pour le risque d’espionnage qu’ils impliquaient.

Pour protéger ses utilisateurs, Happn assure par ailleurs limiter le nombre de transmissions de leur position. “Les positions renvoyées à nos serveurs sont mises à jour à intervalles réguliers mais suffisamment longs pour éviter que des calculs de triangulation malveillants puissent être effectué” précise l’entreprise.

Dans les faits, Happn utilise donc une double stratégie de protection de la vie privée, en rendant volontairement ses outils moins précis: d’une part avec un rayon de localisation très large (jusqu’à un kilomètre), d’autre part avec une localisation discontinue et partielle. Un bon moyen de limiter les risques, qui implique cependant, pour l’utilisateur, de ne pas forcément retrouver ceux qu’il croise, ou au contraire de trouver ce qu’il n’a jamais croisés.

Raphaël Grably BFMTV
Moderators: Modérateur
Powered by Kunena Forum

Chaine Youtube

icon youtube

X (Twitter)

icon Xtwitter

FaceBook

icon facebook

We use cookies

We use cookies on our website. Some of them are essential for the operation of the site, while others help us to improve this site and the user experience (tracking cookies). You can decide for yourself whether you want to allow cookies or not. Please note that if you reject them, you may not be able to use all the functionalities of the site.