In februari 2014 publiceerde het beveiligingsbedrijf Include Security een manier om elke Tinder-gebruiker tot op ongeveer 30 meter te vinden. Tinder stuurde toen al geen coördinaten meer naar de app. Wel een afstand, en dat was genoeg.
De truc is ouder dan de telefoon. Vraag de afstand op vanaf drie verschillende plekken en teken drie cirkels. Ze snijden elkaar in één punt. Een aanvaller hoeft daarvoor nergens heen te lopen, want een neplocatie meesturen kost niets. Het getal afronden vertraagt dit en houdt het niet tegen: je schuift je neppositie steeds een stukje op tot het label van 1 km naar 2 km springt, en die sprong verraadt waar de grens ligt.
Een sorteervolgorde lekt op dezelfde manier. In 2016 wisten onderzoekers van de Universiteit van Kyoto Grindr-gebruikers te lokaliseren die de afstandsweergave hadden uitgezet, met niets anders dan de volgorde van de profielen in het raster. Een filter op straal heeft hetzelfde gat. Een vage cirkel op een kaart is niet beter, want een cirkel heeft een middelpunt en iedereen kan dat vinden.
Wat dat betekent voor een evenementenkaart
Heerish wordt gebruikt op conferenties en meerdaagse programma's van 50 tot 500 mensen, en de kaart laat zien waar deelnemers logeren. Dat is een hotel, meerdere nachten lang, naast een naam en een foto. We hebben al vroeg besloten dat niets in het product ooit antwoord geeft op de vraag "hoe ver is deze persoon bij mij vandaan". Dus zijn er geen afstandslabels en kun je niet op nabijheid sorteren. "Mensen bij jou in de buurt" komt er nooit, hoe vriendelijk het verzoek ook geformuleerd is.
Wat de kaart laat zien is een plek met een naam. Logeer je in het Station Hotel, dan staat je kaartje op het Station Hotel, op hetzelfde punt als de 21 anderen die daar zitten. Heeft de organisator de precisie begrensd op wijkniveau, dan staat er Binnenstad op je kaartje en verlaat niets fijners ooit de server. De organisator kiest die grens per evenement. Standaard is dat de stad, en bij hotelniveau hoort een waarschuwing die de organisator moet lezen en accepteren.
Verbergen is één tik, zonder bevestigingsvenster. Voor alle anderen ziet het er precies zo uit alsof je nooit een hotel hebt gedeeld.
De functie die veilig klinkt
"Alleen zichtbaar voor mensen in hetzelfde hotel" hebben we ook overgeslagen. Bedenk hoe je er misbruik van zou maken. Je zegt dat je in The Linden zit, bekijkt de lijst, stapt over naar Hotel Noord en kijkt opnieuw. Zes hotels later heb je iedereen.
De meeste mensen die gestalkt worden, kennen de dader. In het onderzoek uit 2016 van het Amerikaanse Bureau of Justice Statistics was dat 69%. Op een evenement met 200 mensen kan die persoon gewoon een geldige uitnodiging hebben, dus de kaart moet veilig zijn om te laten zien aan iemand met kwade bedoelingen en een login.
Vind je een manier om uit Heerish een locatie te halen die preciezer is dan wat de kaart toont, schrijf dan naar info@thatukrainianguy.rocks.