Arkadaşlık uygulamaları konum gösteriyor mu? Sızıntı riski

Konuma dayalı arkadaşlık uygulamalarının çoğu, tam olarak nerede olduğunuzu bulmak için telefonunuzun GPS'ini kullanır. Kullanmak zorundadır: yakındaki insanları bu yolla bulurlar. O insanlara gösterdikleri ise belirsiz olmalıdır: bir mesafe, bir şehir, bir bölge.

Ağustos 2024'te Belçika'daki KU Leuven'den araştırmacılar, USENIX Security Symposium'da bu belirsizliğin ne kadar ince olabileceğini gösterdi. Test ettikleri 15 popüler uygulamadan altısı, bir kullanıcının neredeyse tam konumunu ele vermeye zorlanabildi; TechCrunch'ın bildirdiğine göre Bumble ve Hinge dahil uygulamalarda 2 metreye kadar. Çoğu açığı kapattığını söylüyor. Ama bu türün ilk sızıntısı değildi ve fotoğraflarınız, hiçbir uygulama ayarının çözemeyeceği bir biçimde sizi ele verebilir.

Gizlilik politikaları ilk yarı konusunda açıktır. Tinder ve Hinge, izin verirseniz enlem ve boylamınızı toplar; Bumble yakındaki Wi-Fi erişim noktalarını da kullanabildiğini söylüyor. Diğer insanların gördüğü ise çok daha belirsizdir:

Izgara ve gizli mesafeler, KU Leuven'in Ocak 2023 uygulama sürümleri üzerindeki testlerinden geliyor. Yalnızca bir uygulama, Tantan, hâlâ başka bir kullanıcının tam koordinatlarını gönderiyordu ve bunu da yalnızca eşleşme anında yeni bir eşleşmeye. Geri kalan her şey mesafelerle çalışıyordu. Bu, GPS'in nasıl işlediğini hatırlayana kadar güvenli görünür: bilinen üç noktadan ölçülen mesafeler bir konumu belirler.

Arkadaşlık uygulamalarındaki trilaterasyon sızıntıları yaklaşık on yıldır anlatılıyor; bu yüzden çoğu uygulama artık gösterdiği mesafeleri koruyor. KU Leuven makalesi “Swipe Left for Identity Theft”, bu savunmaları aşmanın üç yolunu test etti. Biri kesin bir mesafe kullanır. Biri, yuvarlanmış bir sayının değiştiği noktadan kesin değeri geri çıkarır. Araştırmacıların oracle trilaterasyon dediği üçüncüsü, eşleşmelerinizi seçilen bir yarıçapla sınırlayan mesafe filtresini kullanır: filtre tam konumları denetliyorsa, evet-hayır cevabı, uygulama hiç göstermese bile kesin bir mesafeyi ele verir.

İki ayrıntı önemli. Mesafenizi gizlemek güvenilir bir kalkan değildi: Hinge ve Hily mesafeleri ekranda gizlerken filtreleri onları sızdırıyordu ve Grindr'da araştırmacılar gizli bir mesafeyi çıkarabildi. Ayrıca hiçbir sunucu hacklenmedi. Ekip, yalnızca uygulamaların yerleşik işlevlerini ve kendi oluşturduğu profilleri kullandığını söylüyor.

15 sağlayıcının on tanesi raporu hemen onayladı, iki tanesi de beş ay sonra. KU Leuven'in özeti, çoğu uygulamanın “tam kullanıcı konumlarının sızması dahil bu sızıntıları durdurmak için gerekli uyarlamaları hızla yaptığını” söylüyor. Bilinmeye değer istisna Grindr: koordinatları üç ondalık basamağa yuvarlıyor ve araştırmacılar bunu, az sayıda kişinin tek bir 111 metrelik kareyi paylaştığı kırsal ya da banliyö bölgeleri için fazla hassas buldu.

2021'deki Bumble açığını bildiren Robert Heaton ile KU Leuven ekibi aynı çareyi öneriyor; Tinder'ın ızgarasının uyguladığı çare bu: herhangi bir mesafeyi hesaplamadan önce konumu bulanıklaştırmak.

Üst veri kolay kısımdır. KU Leuven ekibi EXIF verisi taşıyan bir fotoğrafı her uygulamaya yüklediğinde 15'ten 14'ü onu sildi. İstisna MeetMe'ydi: fotoğrafları, bir resmin ne zaman ve nerede çekildiğini gösterebilen özgün üst verisini korudu. Bu, yayın platformlarının genellikle üst veriyi sildiği kuralına uyuyor, ama kural bir söz değildir ve korunan üst veri bir evi ele verebilir.

Üst veriyi silmek, kameranın gördüklerini değiştirmez. Konum resmin kendisinden çıkarılabilir ve bir yeri ipuçlarından okumak, bir kontrol listesi olan bir beceridir. Bumble'ın güvenlik tavsiyesi bunu açıkça söylüyor: “sık gittiğiniz belirli bir yerde sizi gösteren” fotoğrafları, örneğin gözdeniz köpek parkını ya da mahalle barını, dışarıda bırakın. Yüklemeden önce her fotoğrafta şunlara bakın:

• Evden görünen manzara. Bir siluet, bir simge yapı ya da karşıdaki bina bir pencereyi veya balkonu konumlandırabilir.
• Sokağınız. Kapı numaraları, sokak tabelaları, dükkân cepheleri ve aracınızın plakası.
• İşyeriniz. Logolar, üniformalar ve yaka kartları. Bumble, firmanın adını vermek yerine işi “tech company” (teknoloji şirketi) bünyesinde “account manager” (hesap yöneticisi) olarak yazmayı öneriyor.
• Rutininiz. Her hafta gittiğiniz spor salonu, kafe ya da park; Tinder'ın tanımadığınız insanlardan uzak tutmanızı söylediği türden bir ayrıntı.
• Çocuklarınız. Tinder, ebeveynlere çocuklarının görüntülerini ya da hangi okula gittiklerini paylaşmamalarını öneriyor.
• Başka yerde kullandığınız fotoğraflar. Instagram'ınızda ya da LinkedIn'inizde de bulunan bir resim tersine görsel arama ile eşleştirilebilir ve profili adınıza bağlayabilir.

Yapay zekâ ile konum tespiti artık bu tür ipuçlarını otomatik okuyor; bu da kendi fotoğraflarınızı önce sizin kontrol edebileceğiniz anlamına geliyor. GeoSpy, şehri ve ülkeyi kadrajda görünenlerden tahmin eder ve yüklenen fotoğrafları saklamaz. Webde fotoğraf analizi bir GeoSpy Premium aboneliğiyle gelir: haftada 7,99 ABD doları ya da yılda 29,99 ABD doları, siz iptal edene kadar yenilenir. Sonuç şehir düzeyinde bir tahmindir, asla bir adres değil; ama bir modele şehrinizi gösteren bir fotoğraf, sokaklarınızı bilen birine çok daha fazlasını gösterir.

• Tinder: ev ya da iş adresinizi veya günlük rutininizi tanımadığınız insanlarla asla paylaşmayın ve başta sohbetleri Tinder'da sürdürün. Randevuda herkese açık bir yerde buluşun, bir arkadaşınıza planlarınızı söyleyin, konumunuzu güvendiğiniz biriyle paylaşmayı düşünün ve ulaşımınızı kendiniz ayarlayın.
• Bumble: profil ayrıntılarını genel tutun, düzenli gittiğiniz yerlerin fotoğraflarını dışarıda bırakın, bir eşleşmeden fotoğrafını doğrulamasını isteyin ve önce uygulama içi bir görüntülü arama deneyin. Bir kafe gibi herkese açık bir yerde buluşun ve yakın birine kiminle, nerede ve ne zaman buluştuğunuzu söyleyin.
• Hinge: ilk birkaç buluşmayı, hiçbir zaman iki kişiden birinin evinde değil, hareketli bir herkese açık yerde yapın. Arkadaşlarınıza ve ailenize planlarınızı söyleyin, ulaşımınızı kendiniz ayarlayın ve içgüdünüze güvenin: bir barmen ya da garson yardımcı olabilir.

1. Step 1Yaklaşık bir konum paylaşıniPhone'da Ayarlar → Gizlilik ve Güvenlik → Konum Servisleri yolunu izleyin, uygulamaya dokunun ve Kesin Konum'u kapatın. Android'de Ayarlar → Konum → Uygulama konum izinleri (App location permissions) yolunu izleyin, uygulamaya dokunun ve Kesin konumu kullan (Use precise location) seçeneğini kapatın; bu, yaklaşık 3 kilometrekarelik bir alan bırakır. Uygulama yine de çalışıyorsa, bir sızıntı bile yalnızca bu kaba alanı ele verebilir.
2. Step 2Konuma yalnızca uygulamayı kullanırken izin veriniPhone'da Uygulamayı Kullanırken ya da Bir Dahaki Sefere veya Paylaştığımda Sor seçeneğini, Android'de ise Yalnızca uygulamayı kullanırken izin ver (Allow only while using the app) ya da Her seferinde sor (Ask every time) seçeneğini seçin. KU Leuven araştırmacıları, bir arkadaşlık uygulamasının konumunuzu her açışınızda sormasını sağlamanızı öneriyor.
3. Step 3Mesafenizi gizleyin, ama ona güvenmeyinSunulan yerde açın; örneğin aboneler için Tinder'ın “Don’t show my distance” (mesafemi gösterme) seçeneği. Onu bir kilit değil, bir perde sayın: 2023 testlerinde Hinge ve Hily mesafeleri ekranda gizlerken filtreleri onları sızdırıyordu.
4. Step 4Sizi konumlandırmayan fotoğraflar seçinEvde, işte ya da her hafta gittiğiniz yerlerde çekilmiş fotoğrafları atlayın ve arka planlarda sokak adlarını, tabelaları ve plakaları kontrol edin. Diğer herkese açık hesaplarınızda bulunmayan resimler kullanın ve başka yerde paylaştığınız fotoğrafların üst verisini silin.
5. Step 5Profil ayrıntılarını genel tutunİşvereninizi değil, mesleğinizi yazın. KU Leuven araştırmacılarının dediği gibi, başka kullanıcıların profillerinde gördükleriniz, onların sizinkinde görebildikleridir.
6. Step 6Buluşmayı kendi şartlarınızla yapınÖnce görüntülü arama yapın, kalabalık bir herkese açık yerde buluşun, birine planlarınızı söyleyin ve oraya gidip gelmeyi kendiniz ayarlayın; böylece buluştuğunuz kişi adresinize hiç ihtiyaç duymaz. Görüşme WhatsApp'a taşınırsa önce aramalarda IP adresini gizleme adımlarını uygulayın: doğrudan bir arama, eşleşmenize IP adresinizi ve onunla birlikte kabaca konumunuzu gösterebilir. Bir eşleşme, siz hiç söylemediğiniz halde nerede yaşadığınızı biliyor gibiyse, onu uygulamada engelleyip bildirin ve kendinizi güvende hissetmiyorsanız polisle iletişime geçin.