Попередній перегляд посилання може спричинити мережевий запит ще до вашого натискання; проте те, хто надсилає запит і які відомості бачить цільовий сайт, залежить від будови месенджера. Наявність мініатюри в чаті не доводить, що розкрито IP і відправника, і одержувача.
Наскрізне шифрування захищає повідомлення на шляху між учасниками розмови. Завантаження заголовка й зображення вебсайту має окремий шлях і потребує окремого оцінювання.
Три різні способи створення попереднього перегляду
| Спосіб | Що бачить цільовий сайт? | Важливе запитання |
|---|---|---|
| Пряме завантаження пристроєм | IP з’єднання, що надсилає запит, і супровідні відомості | Запит відбувається під час набору, надсилання чи отримання? |
| Завантаження через посередника або проксі | Зазвичай IP посередника замість прямої IP користувача | Що бачить і зберігає сам посередник? |
| Створення перегляду відправником і надсилання його в повідомленні | Одержувач може не підключатися до цільового сайту для показу картки | Зображення в картці локальні чи завантажуються з інтернету знову? |
Ці способи можуть поєднуватися. Наприклад, Signal описав використання проксі для попереднього перегляду в технічному поясненні 2019 року. Цей документ є прикладом архітектури; не слід без перевірки поширювати його на всі версії чи всі застосунки. Поточний посібник Signal пояснює вимкнення створення переглядів і видалення картки перед надсиланням.
IP, ідентифікатор посилання й особа — не одне й те саме
Цільовий сайт бачить IP сторони, що встановлює мережеве з’єднання; це може бути пристрій, VPN або проксі. Сама IP зазвичай не є ім’ям людини чи точною домашньою адресою, але разом із часом запиту й іншими даними може використовуватися для зіставлення подій.
Посилання з унікальним ідентифікатором також може показати, що було запитано саме цю URL-адресу. Саме це спостереження не доводить, хто її прочитав: запит міг надійти від попереднього перегляду, засобу безпеки, відправника, одержувача або людини, якій переслали посилання.
Крім того, IP-адреса не обов’язково є полем усередині HTTP; вона є частиною мережевого зв’язку. Тип і вміст заголовків, як-от User-Agent, залежать від програми, що надсилає запит.
Отримання заголовка сторінки відрізняється від її повного виконання
Деякі механізми попереднього перегляду лише завантажують і обробляють HTML та зображення. Це не обов’язково означає виконання JavaScript або відкриття сторінки в браузері. Натомість попереднє завантаження чи показ сторінки у вебсередовищі можуть поводитися інакше.
Тому ставте два окремі запитання: «Чи надсилається запит на сайт?» і «Чи виконується активний вміст сторінки?». Відповідь на одне не визначає відповіді на інше.
Практичні налаштування для конфіденційних розмов
- Якщо картка перегляду не потрібна, перевірте налаштування її автоматичного створення в застосунку. Видалення вже створеної картки не скасовує попередній запит.
- Вважайте незнайомі посилання й індивідуальні посилання для входу, відновлення або обміну файлами конфіденційними даними. Не вводьте їх у публічні сервіси аналізу URL заради перевірки.
- Не видаляйте довільно параметри підписаного посилання: це може порушити доступ або його чинність. За можливості отримайте загальнодоступну, неперсональну версію сторінки з першоджерела.
- Не плутайте вимкнення попереднього перегляду із запобіганням усім мережевим з’єднанням. Відкриття посилань, зовнішні зображення та інші функції мають власні шляхи.
- Для оцінювання в організації використовуйте нешкідливу URL-адресу під вашим контролем і тестовий пристрій, щоб з’ясувати, коли виникає запит; не поширюйте результат однієї версії на всі пристрої.
Що можна сказати про Livara?
Модель загроз Livara пояснює межі захисту приватного вмісту та обмеження пристрою й мережі. Із цього загального пояснення не можна зробити висновок, що кожен перегляд у кожній версії обов’язково відбувається напряму чи обов’язково проходить через проксі. Таке твердження потребує документації функції або перевірки конкретної версії.
Для приватності посилань шлях запиту важливіший за вигляд картки попереднього перегляду.
