Podgląd linku może wywołać żądanie sieciowe, zanim go klikniesz. To jednak, kto wysyła żądanie i jakie informacje widzi witryna docelowa, zależy od konstrukcji komunikatora. Obecność miniatury w czacie nie oznacza, że ujawniono adresy IP zarówno nadawcy, jak i odbiorcy.
Szyfrowanie end-to-end chroni wiadomość w drodze między uczestnikami rozmowy. Pobieranie tytułu i obrazu witryny odbywa się osobną ścieżką i wymaga osobnej oceny.
Trzy różne sposoby tworzenia podglądu
| Metoda | Co widzi witryna docelowa? | Ważne pytanie |
|---|---|---|
| Bezpośrednie pobieranie przez urządzenie | Adres IP połączenia podmiotu wysyłającego żądanie i informacje towarzyszące żądaniu | Czy żądanie powstaje podczas pisania, wysyłania czy odbierania? |
| Pobieranie przez pośrednika lub proxy | Zwykle adres IP pośrednika zamiast bezpośredniego adresu IP użytkownika | Co widzi i przechowuje sam pośrednik? |
| Utworzenie podglądu przez nadawcę i przesłanie go w wiadomości | Odbiorca może nie łączyć się z witryną docelową, aby wyświetlić kartę | Czy obrazy w karcie są lokalne, czy są ponownie pobierane z sieci? |
Metody te można łączyć. Na przykład Signal w wyjaśnieniu technicznym z 2019 roku opisał użycie proxy do podglądów. Dokument przedstawia przykład projektu; bez sprawdzenia nie należy odnosić go do wszystkich wersji ani wszystkich aplikacji. Aktualny poradnik Signal wyjaśnia, jak wyłączyć tworzenie podglądów i usunąć kartę przed wysłaniem.
Adres IP, identyfikator linku i tożsamość to różne rzeczy
Witryna docelowa widzi adres IP strony nawiązującej połączenie sieciowe: może to być urządzenie, VPN lub proxy. Sam adres IP zazwyczaj nie jest nazwiskiem osoby ani dokładnym adresem jej domu, ale wraz z czasem żądania i innymi danymi może służyć do łączenia zdarzeń.
Link z unikatowym identyfikatorem może też wskazywać, że zażądano właśnie tego URL. Samo to nie dowodzi, kto go przeczytał: żądanie może pochodzić z funkcji podglądu, narzędzia bezpieczeństwa, od nadawcy, odbiorcy lub osoby, której przekazano link.
Adres IP nie musi też być polem w HTTP — stanowi część komunikacji sieciowej. Rodzaj i zawartość nagłówków takich jak User-Agent zależą od oprogramowania wysyłającego żądanie.
Pobranie tytułu strony różni się od jej pełnego wykonania
Niektóre podglądy tylko pobierają i przetwarzają HTML oraz obraz. Nie musi to oznaczać wykonania JavaScript ani otwarcia strony w przeglądarce. Natomiast wstępne ładowanie lub wyświetlanie strony w środowisku internetowym może działać inaczej.
Dlatego zadawaj dwa odrębne pytania: „Czy do witryny jest wysyłane żądanie?” oraz „Czy wykonywana jest aktywna zawartość strony?”. Odpowiedź na jedno nie przesądza o odpowiedzi na drugie.
Praktyczne ustawienia do wrażliwych rozmów
- Jeśli nie potrzebujesz karty podglądu, sprawdź w aplikacji opcję jej automatycznego tworzenia. Usunięcie karty po jej utworzeniu nie cofa wcześniejszego żądania.
- Traktuj nieznane linki i spersonalizowane linki do logowania, odzyskiwania dostępu lub udostępniania plików jak dane wrażliwe. Nie wprowadzaj ich do publicznych usług analizy URL w celu testowania.
- Nie usuwaj samowolnie parametrów podpisanego linku: możesz zepsuć dostęp lub jego poprawność. Jeśli to możliwe, uzyskaj publiczną, niespersonalizowaną wersję strony z pierwotnego źródła.
- Nie myl wyłączenia podglądów z zapobieganiem wszystkim połączeniom sieciowym. Otwieranie linku, obrazy zewnętrzne i inne funkcje mają własne ścieżki.
- Na potrzeby oceny w organizacji sprawdź, kiedy powstaje żądanie, używając nieszkodliwego URL pod własną kontrolą i urządzenia testowego; nie uogólniaj wyników jednej wersji na wszystkie urządzenia.
Co można powiedzieć o Livara?
Model zagrożeń Livara wyjaśnia granice ochrony prywatnych treści oraz ograniczenia urządzeń i sieci. Z tego ogólnego opisu nie wynika, że każdy podgląd w każdej wersji na pewno działa bezpośrednio albo na pewno przez proxy. Takie twierdzenie wymaga dokumentacji funkcji lub zbadania konkretnej wersji.
Dla prywatności linku ścieżka żądania jest ważniejsza niż wygląd karty podglądu.
