A prévia de um link pode gerar uma requisição de rede antes mesmo de você clicar. No entanto, quem envia essa requisição e quais informações o site de destino vê dependem do projeto do mensageiro. A presença de uma miniatura na conversa não permite concluir que os IPs do remetente e do destinatário foram ambos expostos.
A criptografia de ponta a ponta protege a mensagem no trajeto entre os participantes da conversa. Buscar o título e a imagem de um site segue um caminho separado, que deve ser avaliado separadamente.
Três formas diferentes de criar uma prévia
| Método | O que o site de destino vê? | Pergunta importante |
|---|---|---|
| Busca direta pelo dispositivo | O IP da conexão de quem faz a requisição e as informações que a acompanham | A requisição ocorre ao digitar, enviar ou receber? |
| Busca por intermediário ou proxy | Geralmente o IP do intermediário, em vez do IP direto do usuário | O que o próprio intermediário vê e armazena? |
| Criação da prévia pelo remetente e envio dentro da mensagem | O destinatário talvez não precise se conectar ao destino para exibir o cartão | As imagens do cartão são locais ou são buscadas novamente na web? |
Esses métodos podem ser combinados. Por exemplo, em uma explicação técnica de 2019, o Signal descreveu o uso de um proxy para prévias. Esse documento é um exemplo de projeto; não deve ser generalizado, sem verificação, para todas as versões ou todos os aplicativos. O guia atual do Signal explica como desativar a criação de prévias e remover o cartão antes do envio.
IP, identificador do link e identidade não são a mesma coisa
O site de destino vê o IP de quem estabelece a conexão de rede, que pode ser o dispositivo, uma VPN ou um proxy. Um IP isolado geralmente não é o nome da pessoa nem seu endereço residencial exato, mas pode ser usado para correlacionar eventos quando combinado com o horário da requisição e outros dados.
Um link com identificador exclusivo também pode indicar que aquela URL específica foi requisitada. Essa observação, por si só, não prova quem a leu: a requisição pode vir da prévia, de uma ferramenta de segurança, do remetente, do destinatário ou de alguém que recebeu o link encaminhado.
Além disso, o endereço IP não é necessariamente um campo dentro do HTTP; ele faz parte da comunicação de rede. O tipo e o conteúdo de cabeçalhos como User-Agent dependem do software que faz a requisição.
Buscar o título da página não é executar a página inteira
Algumas prévias apenas buscam e processam HTML e uma imagem. Isso não significa necessariamente executar JavaScript ou abrir a página no navegador. Por outro lado, o pré-carregamento ou a exibição da página em um ambiente web podem ter comportamento diferente.
Por isso, faça duas perguntas separadas: “Uma requisição é enviada ao site?” e “O conteúdo ativo da página é executado?”. A resposta a uma não determina a resposta à outra.
Configurações práticas para conversas sensíveis
- Se não precisar do cartão de prévia, confira a opção de criação automática no aplicativo. Remover o cartão depois de criado não desfaz a requisição anterior.
- Trate links desconhecidos e links personalizados de login, recuperação ou compartilhamento de arquivos como dados sensíveis. Não os insira em serviços públicos de análise de URLs para testá-los.
- Não remova arbitrariamente parâmetros de um link assinado: isso pode comprometer o acesso ou sua validade. Se possível, obtenha na fonte original uma versão pública e não personalizada da página.
- Não confunda desativar prévias com impedir todas as conexões de rede. Abrir o link, carregar imagens externas e usar outros recursos são ações com caminhos próprios.
- Para uma avaliação organizacional, use uma URL inofensiva sob seu controle e um dispositivo de teste para verificar quando a requisição é gerada; não generalize o resultado de uma versão para todos os dispositivos.
O que podemos dizer sobre o Livara?
O modelo de ameaças do Livara explica os limites da proteção de conteúdo privado e as limitações dos dispositivos e da rede. Essa explicação geral não permite concluir que toda prévia, em toda versão, necessariamente acessa o destino diretamente ou passa por um proxy. Essa afirmação exige documentação do recurso ou análise daquela versão específica.
Para a privacidade de links, o caminho da requisição importa mais que a aparência do cartão de prévia.
