Czy podgląd łącza WhatsApp w wiadomościach z łączami powoduje wyciek informacji?
Gdy chcemy wysłać wiadomość zawierającą tylko łącze - na przykład pytanie z sieci Stack Exchange - WhatsApp wyświetla informacje ze strony internetowej jak poniżej:
Czy to wyciek informacji o tym, co zostało wysłane, od kogo i do kogo?
Możemy założyć, że WhatsApp korzysta z wewnętrznej przeglądarki i nie wysyła informacji do siebie. Jednak powyżej już wydaje się, że jest przeciekiem, ponieważ użytkownik już tam zajrzał przed udostępnieniem.
A co ze wspólnym atakiem między Google i WhatsApp? WhatsApp widzi wysłaną wiadomość, a Google widzi przeszukaną witrynę.
Czy więc powyższe informacje wyciekają?
Odpowiedzi
Klient WhatsApp wysyła GETżądanie http do typu nadawcy witryny w celu pobrania meta właściwości witryny, które pojawiają się w podglądzie.
<meta property="og:title" content="Information Security Stack Exchange">
<meta property="og:description" content="Q&A by infosec enthusiasts">
<meta property="og:image" content="https://cdn.sstatic.net/Sites/security/Img/logo.svg?v=f9d04c44487b">
<meta property="og:url" content="https://security.stackexchange.com">
Żądanie http nie jest chronione przez E2EE, więc może być podsłuchiwane przez MITM. Jeśli żądana witryna nie używa https, obserwator może również zobaczyć ciąg zapytania i zawartość meta witryny. Jeśli nadawca zapomni wstawić spację między ciągiem zapytania adresu URL a następnym bezpośrednim słowem po ciągu zapytania, to słowo jest wyciekane jako część ciągu zapytania.
https://security.stackexchange.com/questions/241076/does-whatsapps-link-preview-on-the-link-messages-leaks-informationSECRET ... text ... message ... contents ...
SECRETBędą pytani do żądanej strony. Klient WhatApp próbuje również wysyłać zapytania do witryn, które nie istnieją, o ile wpisane słowo pasuje do wyrażenia regularnego adresu URL. Jeśli chodzi o żądaną witrynę, nie wie, kto o nią prosi i do kogo jest wysyłany adres URL.
Jeśli Bob nakłoni Alicję do wpisania adresu URL usługi sieciowej, którą kontroluje, będzie mógł poznać jej adres IP i prawdopodobnie również lokalizację. Aby to naprawić, Signal używa serwera proxy do podglądu łączy.