La vista previa de un enlace puede provocar una solicitud de red antes de que hagas clic; pero quién la envía y qué información ve el sitio de destino depende del diseño del servicio de mensajería. Una miniatura en el chat no permite concluir que se hayan expuesto las IP tanto del remitente como del destinatario.
El cifrado de extremo a extremo protege el mensaje en su recorrido entre los participantes de la conversación. Obtener el título y la imagen de un sitio web sigue una ruta distinta, que debe evaluarse por separado.
Tres formas distintas de crear una vista previa
| Método | ¿Qué ve el sitio de destino? | Pregunta importante |
|---|---|---|
| Obtención directa desde el dispositivo | La IP de la conexión que realiza la solicitud y la información que la acompaña | ¿La solicitud se produce al escribir, enviar o recibir? |
| Obtención mediante un intermediario o proxy | Normalmente la IP del intermediario, en vez de la IP directa del usuario | ¿Qué ve y conserva el propio intermediario? |
| El remitente crea la vista previa y la envía en el mensaje | Es posible que el destinatario no se conecte al destino para mostrar la tarjeta | ¿Las imágenes de la tarjeta son locales o se descargan otra vez de la web? |
Estos métodos pueden combinarse. Por ejemplo, Signal describió el uso de un proxy para las vistas previas en su explicación técnica de 2019. Este documento es un ejemplo de diseño; no debe generalizarse sin comprobarlo a todas las versiones ni a todas las aplicaciones. La guía actual de Signal explica cómo desactivar la creación de vistas previas y eliminar la tarjeta antes de enviarla.
La IP, el identificador del enlace y la identidad no son lo mismo
El sitio de destino ve la IP de quien establece la conexión de red; puede ser un dispositivo, una VPN o un proxy. Una IP por sí sola no suele ser el nombre de una persona ni su domicilio exacto, pero junto con la hora de la solicitud y otros datos puede servir para relacionar eventos.
Un enlace con un identificador único también puede indicar que se ha solicitado esa URL concreta. Esa observación, por sí sola, no demuestra quién lo ha leído: la solicitud puede proceder de una vista previa, una herramienta de seguridad, el remitente, el destinatario o alguien a quien se haya reenviado el enlace.
Además, la dirección IP no es necesariamente un campo dentro de HTTP; forma parte de la comunicación de red. El tipo y el valor de cabeceras como User-Agent dependen del software que realiza la solicitud.
Obtener el título de una página no equivale a ejecutarla por completo
Algunas vistas previas solo obtienen y procesan HTML e imágenes. Eso no significa necesariamente que se ejecute JavaScript o que la página se abra en un navegador. En cambio, precargar o mostrar la página en un entorno web puede comportarse de otra manera.
Por eso conviene hacer dos preguntas distintas: «¿Se envía una solicitud al sitio?» y «¿Se ejecuta el contenido activo de la página?». La respuesta a una no determina la respuesta a la otra.
Ajustes prácticos para conversaciones sensibles
- Si no necesitas la tarjeta de vista previa, revisa la opción de creación automática en la aplicación. Eliminar una tarjeta después de que se haya creado no deshace la solicitud anterior.
- Trata los enlaces desconocidos y los enlaces personalizados de inicio de sesión, recuperación o uso compartido de archivos como datos sensibles. No los introduzcas en servicios públicos de análisis de URL para probarlos.
- No elimines arbitrariamente los parámetros de un enlace firmado; podrías impedir el acceso o invalidarlo. Si es posible, obtén de la fuente original una versión pública y no personalizada de la página.
- No confundas desactivar las vistas previas con impedir todas las conexiones de red. Abrir enlaces, cargar imágenes externas y otras funciones tienen sus propias rutas.
- Para una evaluación en una organización, utiliza una URL inocua bajo tu control y un dispositivo de prueba para comprobar cuándo se generan solicitudes; no generalices el resultado de una versión a todos los dispositivos.
¿Qué puede afirmarse sobre Livara?
El modelo de amenazas de Livara explica los límites de la protección del contenido privado y las limitaciones de los dispositivos y la red. De esta explicación general no puede deducirse que todas las vistas previas de todas las versiones usen necesariamente una conexión directa o un proxy. Tal afirmación requiere documentación de la función o un examen de esa versión concreta.
Para la privacidad de los enlaces, la ruta de la solicitud importa más que el aspecto de la tarjeta de vista previa.
