링크 메시지에서 WhatsApp의 링크 미리보기가 정보를 유출합니까?

Nov 20 2020

Stack Exchange 네트워크의 질문과 같이 링크 만 포함 된 메시지를 보내려는 경우 WhatsApp은 웹 사이트의 정보를 아래와 같이 표시합니다.

이로 인해 누가, 누구에게서, 누구에게 전송되었는지에 대한 정보가 유출됩니까?

WhatsApp은 내부 브라우저를 사용하고 정보를 자체적으로 보내지 않는다고 가정 할 수 있습니다. 그러나 위의 내용은 사용자가 공유하기 전에 이미 확인했기 때문에 이미 유출 된 것 같습니다.

Google과 WhatsApp이 결합 된 공동 공격은 어떻습니까? WhatsApp은 보낸 메시지를보고 Google은 조회 된 사이트를 확인합니다.

그렇다면 위의 정보가 유출됩니까?

답변

9 defalt Nov 20 2020 at 23:09

WhatsApp 클라이언트는 GET미리보기에 표시되는 사이트의 메타 속성을 가져 오기 위해 사이트 발신자 유형에 http 요청을합니다.

<meta property="og:title" content="Information Security Stack Exchange">
<meta property="og:description" content="Q&A by infosec enthusiasts">
<meta property="og:image" content="https://cdn.sstatic.net/Sites/security/Img/logo.svg?v=f9d04c44487b">
<meta property="og:url" content="https://security.stackexchange.com">

http 요청은 E2EE에 의해 보호되지 않으므로 MITM에서 스니핑 할 수 있습니다. 요청 된 사이트가를 사용하지 않는 https경우 쿼리 문자열과 사이트의 메타 콘텐츠도 관찰자가 볼 수 있습니다. 발신자가 URL의 쿼리 문자열과 쿼리 문자열 뒤의 바로 다음 단어 사이에 공백을 두는 것을 잊으면 해당 단어가 쿼리 문자열의 일부로 유출됩니다.

https://security.stackexchange.com/questions/241076/does-whatsapps-link-preview-on-the-link-messages-leaks-informationSECRET ... text ... message ... contents ...

SECRET요청 된 사이트를 조회 할 수 있습니다. WhatApp 클라이언트는 입력 한 단어가 URL의 정규식과 일치하는 한 존재하지 않는 사이트를 쿼리하려고합니다. 요청 된 사이트의 경우 누가 요청하고 URL이 누구에게 전송되는지 알 수 없습니다.

Bob이 자신이 제어하는 ​​웹 서비스의 URL을 입력하도록 Alice를 속이면 그녀의 IP 주소와 위치도 알 수 있습니다. 이를 해결하기 위해 Signal은 링크 미리보기에 프록시 서버를 사용합니다.