תצוגה מקדימה של קישור עשויה ליצור בקשת רשת עוד לפני שתלחצו עליו; אבל מי שולח את הבקשה ואילו פרטים רואה אתר היעד תלויים בתכנון של יישום ההודעות. עצם קיומה של תמונה ממוזערת בצ׳אט אינו מוכיח שכתובות ה-IP של השולח ושל הנמען נחשפו שתיהן.
הצפנה מקצה לקצה מגינה על ההודעה בדרכה בין המשתתפים בשיחה. הורדת הכותרת והתמונה של אתר אינטרנט מתבצעת במסלול נפרד ויש להעריך אותה בנפרד.
שלוש דרכים שונות ליצירת תצוגה מקדימה
| שיטה | מה רואה אתר היעד? | שאלה חשובה |
|---|---|---|
| הורדה ישירה על ידי המכשיר | כתובת ה-IP של החיבור המבקש ומידע הנלווה לבקשה | האם הבקשה מתבצעת בזמן ההקלדה, השליחה או הקבלה? |
| הורדה דרך גורם מתווך או שרת פרוקסי | בדרך כלל את כתובת ה-IP של המתווך במקום את ה-IP הישיר של המשתמש | מה המתווך עצמו רואה ושומר? |
| יצירת תצוגה מקדימה על ידי השולח ושליחתה בתוך ההודעה | ייתכן שהנמען לא יתחבר ליעד כדי להציג את הכרטיס | האם התמונות בכרטיס מקומיות או יורדות שוב מהאינטרנט? |
אפשר לשלב בין השיטות האלה. לדוגמה, Signal תיאר שימוש בשרת מתווך לתצוגות מקדימות בהסבר טכני משנת 2019. מסמך זה הוא דוגמה לתכנון; אין להכליל ממנו ללא בדיקה על כל הגרסאות או כל היישומים. המדריך הנוכחי של Signal מסביר כיצד לכבות יצירת תצוגות מקדימות ולהסיר את הכרטיס לפני השליחה.
IP, מזהה קישור וזהות אינם אותו דבר
אתר היעד רואה את כתובת ה-IP של הצד שיוצר את חיבור הרשת; זה עשוי להיות המכשיר, VPN או שרת מתווך. כתובת IP לבדה בדרך כלל אינה שמו של אדם או כתובת מגוריו המדויקת, אך בשילוב שעת הבקשה ונתונים אחרים אפשר להשתמש בה כדי לקשר בין אירועים.
גם קישור בעל מזהה ייחודי עשוי להעיד שאותה כתובת URL התבקשה. התצפית הזאת לבדה אינה מוכיחה מי קרא אותה: הבקשה יכולה להגיע מתצוגה מקדימה, מכלי אבטחה, מהשולח, מהנמען או ממי שהקישור הועבר אליו.
בנוסף, כתובת IP אינה בהכרח שדה בתוך HTTP; היא חלק מתקשורת הרשת. הסוג והתוכן של כותרות כגון User-Agent תלויים בתוכנה ששולחת את הבקשה.
קבלת כותרת הדף שונה מהרצתו המלאה
חלק מהתצוגות המקדימות רק מורידות ומעבדות HTML ותמונות. פעולה כזאת אינה בהכרח הרצת JavaScript או פתיחת הדף בדפדפן. לעומת זאת, טעינה מראש או הצגת דף בסביבת אינטרנט עשויות להתנהג אחרת.
לכן שאלו שתי שאלות נפרדות: ״האם נשלחת בקשה לאתר?״ ו״האם התוכן הפעיל של הדף מופעל?״. התשובה לאחת אינה קובעת את התשובה לאחרת.
הגדרות מעשיות לשיחות רגישות
- אם אינכם זקוקים לכרטיס התצוגה המקדימה, בדקו את אפשרות היצירה האוטומטית שלו ביישום. הסרת הכרטיס לאחר שנוצר אינה מבטלת את הבקשה שכבר נשלחה.
- התייחסו לקישורים לא מוכרים ולקישורים אישיים לכניסה, לשחזור או לשיתוף קבצים כאל מידע רגיש. אל תזינו אותם בשירותים ציבוריים לניתוח כתובות URL לצורך בדיקה.
- אל תסירו שרירותית פרמטרים מקישור חתום; הדבר עלול לפגוע בגישה או בתקפות שלו. אם אפשר, קבלו גרסה ציבורית ולא אישית של הדף מהמקור המקורי.
- אל תבלבלו בין כיבוי תצוגות מקדימות לבין מניעת כל חיבורי הרשת. לפתיחת קישור, לתמונות חיצוניות וליכולות אחרות יש מסלולים משלהן.
- לצורך הערכה ארגונית, השתמשו בכתובת URL בלתי מזיקה שבשליטתכם ובמכשיר בדיקה כדי לבדוק מתי נוצרת בקשה; אל תכלילו תוצאה של גרסה אחת על כל המכשירים.
מה אפשר לומר על Livara?
מודל האיומים של Livara מסביר את גבולות ההגנה על תוכן פרטי ואת מגבלות המכשיר והרשת. מהסבר כללי זה אי אפשר להסיק שכל תצוגה מקדימה בכל גרסה מתבצעת בהכרח ישירות או בהכרח דרך שרת מתווך. טענה כזאת מחייבת תיעוד של היכולת או בדיקה של אותה גרסה.
לפרטיות קישורים, מסלול הבקשה חשוב יותר ממראה כרטיס התצוגה המקדימה.
