У лютому 2014 року фірма з безпеки Include Security опублікувала спосіб знайти будь-якого користувача Tinder з точністю приблизно до 30 метрів. Координати Tinder на той час уже не надсилав у застосунок. Відстань надсилав, і цього вистачило.
Трюк старший за телефони. Запитайте відстань із трьох різних точок і накресліть три кола. Вони перетинаються в одній точці. Нападникові нікуди не треба йти, бо підроблена локація не коштує нічого. Округлення числа це сповільнює, але не спиняє: ви посуваєте свою фальшиву позицію крок за кроком, доки підпис не перескочить з 1 км на 2 км, і цей стрибок каже вам, де проходить межа.
Порядок сортування видає те саме. 2016 року дослідники з Кіотського університету знайшли користувачів Grindr, які вимкнули показ відстані, маючи тільки порядок карток у сітці профілів. У фільтра за радіусом та сама діра. Розмите коло на мапі не краще, бо в кола є центр, і його знайде будь-хто.
Що це означає для мапи події
heer(ish) працює на конференціях і резиденціях, де буває від 50 до 500 людей, і мапа показує, де живуть учасники. Це готель, на кілька ночей, поруч з іменем і фото. Ми рано вирішили, що ніщо в продукті ніколи не відповість на питання «як далеко ця людина від мене». Тож тут немає ні підписів із відстанню, ні сортування за близькістю. «Люди поруч із вами» не з'явиться ніколи, хоч як ввічливо сформульоване прохання.
Мапа показує місце, у якого є назва. Якщо ви живете в Station Hotel, ваша картка стоїть на Station Hotel, у тій самій точці, що й решта 21 людини звідти. Якщо організатор обмежив точність рівнем району, на картці буде Старе Місто, і нічого точнішого сервер не віддасть. Цю межу організатор обирає для кожної події окремо. Типово стоїть місто, а до рівня готелю йде попередження, яке доведеться прочитати і прийняти.
Сховатися можна одним дотиком, без вікна підтвердження. Збоку це виглядає точно так само, наче ви ніколи й не вказували готель.
Функція, яка звучить безпечно
Ми також не стали робити «видно тільки людям у тому самому готелі». Подумайте, як би ви це зламали. Вказуєте Linden, дивитеся список, переходите в Noord, дивитеся ще раз. Через шість готелів у вас є всі.
Більшість людей, яких переслідують, знають того, хто це робить. В опитуванні 2016 року Бюро судової статистики США таких було 69 %. На події, де зібралося 200 людей, така людина цілком може мати справжнє запрошення. Виходить, мапа має лишатися безпечною і тоді, коли на неї дивиться хтось із поганими намірами і робочим входом.
Якщо ви знайдете спосіб дістати з heer(ish) локацію точнішу за ту, що показує мапа, напишіть на security@heerish.app.