Abo
  • Services:
Anzeige
Screenshot des Test-Skripts
Screenshot des Test-Skripts (Bild: Alexander Merz/Golem.de)

Lovoo: Sicherheitslücke ermöglicht Erstellung von Bewegungsprofilen

Screenshot des Test-Skripts
Screenshot des Test-Skripts (Bild: Alexander Merz/Golem.de)

Über die Web-API des Dating-Dienstes ließen sich bis vor kurzem Informationen über Nutzer abrufen - auch ohne Login. Per Skript-Automatisierung können damit Bewegungsprofile erstellt werden.

Mit der sogenannten Radar-Funktion von Lovoo können sich Nutzer per Browser oder App andere Lovoo-Nutzer in ihrer Umgebung anzeigen lassen. Dabei wird nicht nur der Nutzername dargestellt, sondern unter anderem die ungefähre Entfernung zur eigenen Position. Golem.de-Leser Pascal Raszyk hat uns informiert, dass diese Funktion keinerlei Einschränkungen hat und jedem die Möglichkeit bietet, Bewegungsprofile einzusehen. Mittlerweile ist diese Lücke zum Teil geschlossen.

Anzeige

Web-API ist mitteilsam

Die Radar-Funktion der App basiert darauf, dass die Lovoo-Anwendung regelmäßig die Ortskoordinaten des Nutzers an den Dienst übermittelt, wenn dieser dem zugestimmt hat. Die Daten erhält die Radar-Anwendung über eine Web-API-URL. In der URL wird unter anderem als Parameter die aktuelle Position des abfragenden Nutzers übergeben sowie ein Suchradius. Daher weiß Lovoo, wo sich der Nutzer befindet, und kann darüber die Entfernung anderer Nutzer berechnen.

Pascal Raszyk entdeckte, dass die URL ohne Limitierungen abgefragt werden konnte. So war es ihm nicht nur möglich, Daten ohne gültiges Nutzer-Login zu erhalten, sondern auch in kürzester Zeit beliebig viele Abrufe mit frei gewählten Ortskoordinaten durchzuführen. Raszyk stellte uns ein Skript zur Verfügung, das mehrere URL-Abrufe durchführt und das Ergebnis auswertet. Bei jedem Aufruf wird dabei der abgefragte Standort leicht variiert, die jeweiligen Suchumgebungen überlappen sich dabei. Mit hoher Wahrscheinlichkeit tauchen dabei einige Nutzer in jedem der Ergebnisse auf, inklusive der Entfernungsangabe zu den abgefragten Ortskoordinaten.

Aus der Kombination mehrerer Ortskoordinaten und der zugehörigen Entfernungen kann per Triangulation die konkrete Position dieser Nutzer auf wenige Meter genau bestimmt werden.

Alternativ lässt sich mit diesem Konzept ein Nutzer automatisiert gezielt suchen und verfolgen, wenn zumindest sein ungefährer Standort bekannt ist.

Lovoo verweist auf absichtliche Ungenauigkeit

Wir konfrontierten Lovoo mit diesen Problemen und erhielten noch am gleichen Tag eine Antwort. Der Zugriff durch nicht einloggte Nutzer sei mittlerweile unterbunden - was tatsächlich der Fall ist, wie wir feststellten.

Ansonsten verweist Lovoo auf den Zweck des Dienstes: "Zur Erbringung unserer standortbezogenen Dienstleistungen [...] ist es notwendig und liegt in der Natur der Sache, Standortdaten zwischen Benutzern unserer Plattform zu teilen.". Außerdem betont der Anbieter die Freiwilligkeit der Standortübermittlung. Die Möglichkeit einer genauen Ortsbestimmung eines Nutzers verneint Lovoo: "Um unsere Nutzer - trotz standortbezogener Leistungen - besser zu schützen, wird die Genauigkeit der Koordinaten automatisch mit mind. 100 Meter reduziert."

Auf Anfrage von Golem.de widersprach Pascal Raszyk der Argumentation von Lovoo: "Trotz der Ungenauigkeit lässt sich die Bewegungsrichtung erkennen und damit auch ein Bewegungsprofil reproduzieren."


eye home zur Startseite
bauer_inc 18. Okt 2016

hey, krass, aber cool gemachte Webseite, mit der Karte und so. Geht das aktuell immer...

lemmer 08. Okt 2016

Bei der durchgeführten Prüfung der Bewegung der Nutzerprofile stellte sich heraus, dass...

Xiut 07. Okt 2016

Oh Gott.. da fehlt bei dir ja jegliches Verständnis und jegliche Logik.. Aber mal dir...

berndliefert 07. Okt 2016

Was ihr meint nennt sich "Trilateration".



Anzeige

Stellenmarkt
  1. dm-drogerie markt GmbH + Co. KG, Karlsruhe
  2. A. Menarini Research & Business Service GmbH, Berlin
  3. Zurich Gruppe Deutschland, Bonn
  4. EidosMedia GmbH, Frankfurt am Main


Anzeige
Spiele-Angebote
  1. (-50%) 9,99€
  2. (-50%) 29,99€
  3. 8,49€

Folgen Sie uns
       


  1. Alcatel 1X

    Android-Go-Smartphone mit 2:1-Display kommt für 100 Euro

  2. Apple

    Ladestation Airpower soll im März 2018 auf den Markt kommen

  3. Radeon Software Adrenalin 18.2.3

    AMD-Treiber macht Sea of Thieves schneller

  4. Lifebook U938

    Das fast perfekte Business-Ultrabook bekommt vier Kerne

  5. Wochenrückblick

    Früher war nicht alles besser

  6. Raumfahrt

    Falsch abgebogen wegen Eingabefehler

  7. Cloud

    AWS bringt den Appstore für Serverless-Software

  8. Free-to-Play-Strategie

    Total War Arena beginnt den Betabetrieb

  9. Funkchip

    US-Grenzbeamte können Pass-Signaturen nicht prüfen

  10. Telekom-Chef

    "Sorry! Da ist mir der Gaul durchgegangen"



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Homepod im Test: Smarter Lautsprecher für den Apple-affinen Popfan
Homepod im Test
Smarter Lautsprecher für den Apple-affinen Popfan
  1. Rückstände Homepod macht weiße Ringe auf Holzmöbeln
  2. Smarter Lautsprecher Homepod schwer reparierbar
  3. Smarter Lautsprecher Homepod-Reparaturen kosten fast so viel wie ein neues Gerät

Indiegames-Rundschau: Tiefseemonster, Cyberpunks und ein Kelte
Indiegames-Rundschau
Tiefseemonster, Cyberpunks und ein Kelte
  1. Indiegames-Rundschau Krawall mit Knetmännchen und ein Mann im Fass
  2. Games 2017 Die besten Indiespiele des Jahres

HP Omen X VR im Test: VR auf dem Rücken kann nur teils entzücken
HP Omen X VR im Test
VR auf dem Rücken kann nur teils entzücken
  1. 3D Rudder Blackhawk Mehr Frags mit Fußschlaufen
  2. Kreativ-Apps für VR-Headsets Austoben im VR-Atelier
  3. Apps und Games für VR-Headsets Der virtuelle Blade Runner und Sport mit Sparc

  1. Re: Vergleich zu Nvidia

    Niaxa | 19:11

  2. Re: Schneller?

    Niaxa | 19:10

  3. Re: Habe noch nie verstanden...

    Niaxa | 19:07

  4. Re: Anschlüsse!

    gaelic | 19:03

  5. Re: Das sagt eine Schlange auch

    teenriot* | 19:01


  1. 19:00

  2. 11:53

  3. 11:26

  4. 11:14

  5. 09:02

  6. 17:17

  7. 16:50

  8. 16:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel