En ny rapportere av sikkerhetsforskere Talal Haj Bakry og Tommy Mysk har avslørt at forhåndsvisninger av koblinger i meldingsapper kan føre til sikkerhets- og personvernproblemer på iOS og Android. Gjennom forhåndsvisninger av lenker oppdaget Bakry og Mysk at apper kunne lekke IP-adresser, avsløre lenker sendt i ende-til-ende krypterte chatter, laste ned store filer uten brukernes samtykke og kopiere private data.
hvilke farger kommer iphone 12 pro i
Forhåndsvisninger av koblinger gir en titt på innhold som nettsider eller dokumenter i mange meldingsapper. Funksjonen lar brukere se en kort oppsummering og forhåndsvise bilde i tråd med resten av samtalen uten å måtte trykke på lenken.
Apper som iMessage og WhatsApp sørger for at avsenderen genererer forhåndsvisningen, noe som betyr at mottakeren er beskyttet mot risiko hvis koblingen er ondsinnet. Dette er fordi sammendraget og forhåndsvisningsbildet opprettes på avsenderens enhet og sendes som et vedlegg. Mottakerens enhet vil vise forhåndsvisningen slik den ble overført fra avsenderen uten å måtte åpne koblingen. Apper som ikke genererer en forhåndsvisning av koblinger i det hele tatt, som TikTok og WeChat, påvirkes heller ikke.
Problemet oppstår når mottakeren genererer forhåndsvisningen av koblingen, fordi appen automatisk åpner lenken i bakgrunnen for å lage forhåndsvisningen. Dette skjer før brukere i det hele tatt trykker på lenken, og kan potensielt utsette dem for skadelig innhold. Apper som Reddit genererer lenker på denne måten.
For eksempel kan en ondsinnet aktør sende en lenke til sin egen server. Når mottakerens app automatisk åpner koblingen i bakgrunnen, vil den sende enhetens IP-adresse til serveren og avsløre plasseringen deres.
Denne tilnærmingen kan også forårsake problemer hvis koblingen peker til en stor fil, hvorpå appen kan prøve å laste ned hele filen, tapper batterilevetid og hemorraging dataplangrenser.
Forhåndsvisninger av koblinger kan også genereres på en ekstern server, og det er slik mange populære apper som Discord, Facebook Messenger, Google Hangouts, Instagram, LinkedIn, Slack, Twitter og Zoom fungerer. I dette tilfellet vil appen først sende lenken til en ekstern server og be den generere en forhåndsvisning, og deretter vil serveren sende forhåndsvisningen tilbake til både avsender og mottaker.
kan du bruke spotify på apple watch
Dette kan imidlertid utgjøre en sikkerhetstrussel når innholdet i den sendte lenken er privat. Ved å bruke en ekstern server kan disse appene potensielt lage uautoriserte kopier av privat informasjon og beholde den i en periode.
Selv om mange av appene hadde implementert en datagrense på hvor mye av lenkeinnholdet som skulle lastes ned, oppdaget forskerne at Facebook Messenger og Instagram var spesielt kjente for å laste ned hele innholdet av koblinger til serverne, uavhengig av størrelse. På spørsmål om denne oppførselen, sa Facebook angivelig at de anser dette for å 'fungere etter hensikten.'
Kopier som holdes på eksterne servere kan være gjenstand for datainnbrudd, noe som kan være spesielt bekymrende for brukere av forretningsapper som Zoom og Slack, og de som sender lenker til sensitive private data.
hvordan spore kondisjon på Apple Watch
Forskningen gir en forståelse av hvordan den samme nøyaktige funksjonen kan fungere på forskjellige måter, og hvordan disse forskjellene kan ha en betydelig innvirkning på sikkerhet og personvern. Se fullstendig rapport for mer informasjon.
Stikkord: cybersikkerhet , Meldinger
Populære Innlegg