Le lien de WhatsApp s'affiche-t-il sur les messages de lien qui fuient des informations?
Lorsque nous voulons envoyer un message ne contenant qu'un lien - comme une question du réseau Stack Exchange - WhatsApp affiche les informations du site Web comme ci-dessous:
Est-ce que cela laisse échapper des informations sur ce qui a été envoyé, de qui et à qui?
Nous pouvons supposer que WhatsApp utilise un navigateur interne et ne s'envoie pas d'informations. Cependant, ci-dessus semble déjà être une fuite puisque l'utilisateur y a déjà regardé avant de partager.
Qu'en est-il d'une attaque collaborative entre Google et WhatsApp combinés? WhatsApp voit le message envoyé et Google voit le site qui a été recherché.
Alors, est-ce que ci-dessus fuit des informations?
Réponses
Le client WhatsApp envoie une GETrequête http aux types d'expéditeurs du site afin de récupérer les méta propriétés du site qui apparaissent dans l'aperçu.
<meta property="og:title" content="Information Security Stack Exchange">
<meta property="og:description" content="Q&A by infosec enthusiasts">
<meta property="og:image" content="https://cdn.sstatic.net/Sites/security/Img/logo.svg?v=f9d04c44487b">
<meta property="og:url" content="https://security.stackexchange.com">
La requête http n'est pas protégée par E2EE et peut donc être reniflée par MITM. Si le site demandé n'est pas utilisé https, la chaîne de requête et le méta-contenu du site peuvent également être vus par l'observateur. Si l'expéditeur oublie de mettre un espace entre la chaîne de requête de l'URL et le mot suivant immédiatement après la chaîne de requête, ce mot est divulgué comme faisant partie de la chaîne de requête.
https://security.stackexchange.com/questions/241076/does-whatsapps-link-preview-on-the-link-messages-leaks-informationSECRET ... text ... message ... contents ...
Le SECRETsera interrogé sur le site demandé. Le client WhatApp tente également d'interroger des sites qui n'existent pas tant que le mot tapé correspond à l'expression régulière de l'URL. Quant au site demandé, il ne sait pas qui le demande et à qui l'URL est envoyée.
Si Bob trompe Alice pour taper l'URL du service Web qu'il contrôle, il pourra apprendre son adresse IP et probablement son emplacement aussi. Pour résoudre ce problème, Signal utilise un serveur proxy pour les aperçus des liens.