Bir bağlantının önizlemesi, siz tıklamadan önce bir ağ isteği oluşturabilir. Ancak isteği kimin gönderdiği ve hedef sitenin hangi bilgileri gördüğü, mesajlaşma uygulamasının tasarımına bağlıdır. Sohbette küçük bir görsel bulunması, hem gönderenin hem alıcının IP adresinin açığa çıktığı anlamına gelmez.
Uçtan uca şifreleme, mesajı konuşmanın tarafları arasındaki yolculuğunda korur. Bir web sitesinin başlığını ve görselini getirmek ise ayrı bir yol izler ve ayrıca değerlendirilmelidir.
Önizleme oluşturmanın üç farklı yolu
| Yöntem | Hedef site ne görür? | Önemli soru |
|---|---|---|
| Cihazın doğrudan getirmesi | İsteği yapanın bağlantı IP adresini ve isteğe eşlik eden bilgileri | İstek yazarken mi, gönderirken mi, alırken mi oluşur? |
| Aracı veya proxy üzerinden getirme | Genellikle kullanıcının doğrudan IP adresi yerine aracının IP adresini | Aracının kendisi neyi görür ve saklar? |
| Gönderenin önizlemeyi oluşturup mesaj içinde göndermesi | Alıcının kartı göstermek için hedefe bağlanması gerekmeyebilir | Karttaki görseller yerel mi, yoksa web’den yeniden mi getiriliyor? |
Bu yöntemler bir arada kullanılabilir. Örneğin Signal, 2019 tarihli teknik açıklamasında önizlemeler için proxy kullanımını anlatmıştır. Bu belge bir tasarım örneğidir; kontrol etmeden tüm sürümlere veya tüm uygulamalara genellenmemelidir. Signal’ın güncel kılavuzu, önizleme oluşturmayı kapatma ve göndermeden önce kartı kaldırma seçeneklerini açıklar.
IP adresi, bağlantı tanımlayıcısı ve kimlik aynı şey değildir
Hedef site, ağ bağlantısını kuran tarafın IP adresini görür; bu taraf cihaz, VPN veya proxy olabilir. IP adresi tek başına genellikle bir kişinin adı ya da tam ev adresi değildir. Ancak isteğin zamanı ve başka verilerle birlikte olayları ilişkilendirmek için kullanılabilir.
Benzersiz tanımlayıcı içeren bir bağlantı, tam olarak o URL’nin istendiğini de gösterebilir. Bu gözlem tek başına bağlantıyı kimin okuduğunu kanıtlamaz: istek önizlemeden, bir güvenlik aracından, gönderenden, alıcıdan veya bağlantının iletildiği başka bir kişiden kaynaklanabilir.
IP adresi ayrıca mutlaka HTTP içindeki bir alan değildir; ağ iletişiminin parçasıdır. User-Agent gibi başlıkların türü ve içeriği, isteği yapan yazılıma bağlıdır.
Sayfanın başlığını getirmek, tamamını çalıştırmaktan farklıdır
Bazı önizlemeler yalnızca HTML ve görseli getirip işler. Bu, mutlaka JavaScript çalıştırıldığı veya sayfanın tarayıcıda açıldığı anlamına gelmez. Buna karşılık ön yükleme veya sayfayı bir web ortamında görüntüleme farklı davranışlar gösterebilir.
Bu nedenle iki ayrı soru sorun: “Siteye bir istek gönderiliyor mu?” ve “Sayfanın etkin içeriği çalıştırılıyor mu?” Birinin yanıtı diğerinin yanıtını belirlemez.
Hassas konuşmalar için pratik ayarlar
- Önizleme kartına ihtiyacınız yoksa uygulamadaki otomatik oluşturma seçeneğini kontrol edin. Kart oluştuktan sonra onu kaldırmak, önceki isteği geri almaz.
- Bilinmeyen bağlantıları ve kişiye özel giriş, kurtarma veya dosya paylaşma bağlantılarını hassas veri olarak değerlendirin. Denemek için bunları herkese açık URL analiz hizmetlerine girmeyin.
- İmzalı bir bağlantının parametrelerini gelişigüzel silmeyin; erişimi veya geçerliliği bozabilirsiniz. Mümkünse sayfanın herkese açık, kişiselleştirilmemiş sürümünü asıl kaynaktan alın.
- Önizlemeleri kapatmayı tüm ağ bağlantılarını engellemekle karıştırmayın. Bağlantıyı açmak, harici görseller ve diğer özellikler ayrı yollar izler.
- Kurumsal değerlendirmede, kontrolünüzdeki zararsız bir URL ve bir test cihazıyla isteğin ne zaman oluştuğunu inceleyin; bir sürümün sonucunu tüm cihazlara genellemeyin.
Livara hakkında ne söylenebilir?
Livara’nın tehdit modeli, özel içeriğin korunma sınırlarını ve cihazlarla ağların kısıtlarını açıklar. Bu genel açıklamadan her sürümdeki her önizlemenin kesinlikle doğrudan veya kesinlikle proxy üzerinden geçtiği sonucu çıkarılamaz. Böyle bir iddia, özelliğin belgelerini veya ilgili sürümün incelenmesini gerektirir.
Bağlantı gizliliği açısından isteğin izlediği yol, önizleme kartının görünümünden daha önemlidir.
