Предпросмотр ссылки может вызвать сетевой запрос ещё до вашего клика; но кто отправляет запрос и какие сведения видит целевой сайт, зависит от устройства мессенджера. Наличие миниатюры в чате не позволяет заключить, что раскрыты IP и отправителя, и получателя.
Сквозное шифрование защищает сообщение на пути между участниками беседы. Загрузка заголовка и изображения сайта идёт отдельным путём и требует отдельной оценки.
Три разных способа создания предпросмотра
| Способ | Что видит целевой сайт? | Важный вопрос |
|---|---|---|
| Прямая загрузка устройством | IP соединения, отправившего запрос, и сопутствующие сведения | Запрос выполняется при наборе, отправке или получении? |
| Загрузка через посредника или прокси | Обычно IP посредника вместо прямого IP пользователя | Что видит и сохраняет сам посредник? |
| Создание предпросмотра отправителем и передача его в сообщении | Получатель может не подключаться к целевому сайту для отображения карточки | Изображения в карточке локальные или снова загружаются из интернета? |
Эти способы могут сочетаться. Например, Signal описал использование прокси для предпросмотра в техническом пояснении 2019 года. Этот документ — пример архитектуры; нельзя без проверки распространять его на все версии или все приложения. Текущее руководство Signal объясняет отключение создания предпросмотра и удаление карточки перед отправкой.
IP, идентификатор ссылки и личность — не одно и то же
Целевой сайт видит IP стороны, устанавливающей сетевое соединение; это может быть устройство, VPN или прокси. Сам по себе IP обычно не является именем человека или точным домашним адресом, но вместе со временем запроса и другими данными может использоваться для сопоставления событий.
Ссылка с уникальным идентификатором также может показать, что был запрошен именно этот URL. Само это наблюдение не доказывает, кто его прочитал: запрос мог поступить от предпросмотра, средства защиты, отправителя, получателя или человека, которому переслали ссылку.
Кроме того, IP-адрес не обязательно является полем внутри HTTP; он относится к сетевому соединению. Тип и содержимое заголовков, таких как User-Agent, зависят от программы, отправляющей запрос.
Получение заголовка страницы отличается от её полноценного выполнения
Некоторые механизмы предпросмотра лишь загружают и обрабатывают HTML и изображения. Это не обязательно означает выполнение JavaScript или открытие страницы в браузере. Напротив, предварительная загрузка или отображение страницы в веб-среде могут вести себя иначе.
Поэтому задавайте два отдельных вопроса: «Отправляется ли запрос на сайт?» и «Выполняется ли активное содержимое страницы?». Ответ на один не определяет ответ на другой.
Практические настройки для конфиденциальных бесед
- Если карточка предпросмотра не нужна, проверьте настройку её автоматического создания в приложении. Удаление уже созданной карточки не отменяет предыдущий запрос.
- Считайте незнакомые ссылки и индивидуальные ссылки для входа, восстановления или обмена файлами конфиденциальными данными. Не вводите их в публичные сервисы анализа URL ради проверки.
- Не удаляйте произвольно параметры подписанной ссылки: это может нарушить доступ или её действительность. По возможности получите общедоступную, неперсональную версию страницы из первоисточника.
- Не путайте отключение предпросмотра с предотвращением всех сетевых соединений. Открытие ссылки, внешние изображения и другие функции имеют собственные пути.
- Для оценки в организации используйте безопасный URL под вашим контролем и тестовое устройство, чтобы проверить, когда возникает запрос; не распространяйте результат одной версии на все устройства.
Что можно сказать о Livara?
Модель угроз Livara объясняет границы защиты частного содержимого и ограничения устройства и сети. Из этого общего описания нельзя заключить, что каждый предпросмотр в каждой версии обязательно выполняется напрямую или обязательно проходит через прокси. Такое утверждение требует документации функции или проверки конкретной версии.
Для приватности ссылок путь запроса важнее внешнего вида карточки предпросмотра.
