La vulnérabilité de l’application de rencontres Feeld

[GN⁺]

Avis Hacker News

• On dirait que les contrôles d’autorisation n’ont été implémentés que côté frontend

  • Il est nécessaire de vérifier toutes les autorisations côté backend
  • Comme pour la résolution des problèmes de buffer overflow, il faut ajouter des vérifications de limites partout

• Il ne faut pas saisir de données personnelles exactes

  • Pour des informations comme la date de naissance, mieux vaut entrer une valeur approximative
  • Les applis de rencontre, en particulier, demandent des informations sensibles

• Cette appli vise des personnes aux préférences variées

  • C’est une appli destinée à des personnes ayant des préférences diverses, comme le BDSM, le sexe en groupe ou les personnes queer

• Elle a beaucoup fait parler d’elle récemment dans les médias

  • Il a été rapporté qu’elle avait généré beaucoup de revenus
  • Lien vers l’article connexe

• Un échec d’un niveau proche de la négligence criminelle

  • Compte tenu de la catégorie de l’appli, c’est un problème extrêmement grave

• Le marché de la rencontre en ligne est en plein chaos

  • Il n’y a que 2 ou 3 entreprises qui fournissent un service utile
  • Il faudrait un service de rencontre fédéré open source

• On dirait qu’ils ne se soucient absolument pas de la sécurité

  • Je suis développeur de jeux, et nous faisons bien plus d’efforts pour préserver l’équité des jeux
  • Cette entreprise ne prend absolument pas en compte la sécurité de ses utilisateurs

• Le problème de GraphQL

  • Cela permet au frontend d’interroger les données
  • Il est difficile, côté backend, de comprendre les requêtes et de mettre en œuvre le contrôle d’accès
  • GraphQL peut rendre ce type d’erreur plus facile à commettre

• Une divulgation responsable et empreinte de compassion

  • Je suis surpris que les chercheurs aient retardé la divulgation
  • Les startups devraient corriger ce genre de problème sous deux mois pour éviter les abus de données personnelles