Eine neue Prüfbericht von den Sicherheitsforschern Talal Haj Bakry und Tommy Mysk hat ergeben, dass Linkvorschauen in Messaging-Apps zu Sicherheits- und Datenschutzproblemen auf iOS und Android führen können. Durch Link-Vorschauen entdeckten Bakry und Mysk, dass Apps IP-Adressen preisgeben, in durchgehend verschlüsselten Chats gesendete Links aufdecken, große Dateien ohne Zustimmung der Benutzer herunterladen und private Daten kopieren können.
So schalten Sie die Bildschirmaufzeichnung des iPhone 11 ein
Linkvorschauen bieten einen Einblick in Inhalte wie Webseiten oder Dokumente in vielen Messaging-Apps. Die Funktion ermöglicht es Benutzern, eine kurze Zusammenfassung und ein Vorschaubild inline mit dem Rest der Konversation anzuzeigen, ohne auf den Link tippen zu müssen.
Apps wie iMessage und WhatsApp sorgen dafür, dass der Sender die Vorschau generiert, sodass der Empfänger vor Gefahren geschützt ist, wenn der Link bösartig ist. Dies liegt daran, dass die Zusammenfassung und das Vorschaubild auf dem Gerät des Absenders erstellt und als Anhang gesendet werden. Das Gerät des Empfängers zeigt die Vorschau so an, wie sie vom Sender übertragen wurde, ohne den Link öffnen zu müssen. Auch Apps, die gar keine Linkvorschau generieren, wie TikTok und WeChat, sind davon nicht betroffen.
Das Problem tritt auf, wenn der Empfänger die Linkvorschau generiert, da die App den Link automatisch im Hintergrund öffnet, um die Vorschau zu erstellen. Dies geschieht, bevor Benutzer überhaupt auf den Link tippen, wodurch sie möglicherweise schädlichen Inhalten ausgesetzt sind. Apps wie Reddit generieren auf diese Weise Links.
Ein böswilliger Akteur könnte beispielsweise einen Link zu seinem eigenen Server senden. Wenn die App des Empfängers den Link automatisch im Hintergrund öffnet, würde sie die IP-Adresse des Geräts an den Server senden und seinen Standort preisgeben.
Dieser Ansatz kann auch zu Problemen führen, wenn der Link auf eine große Datei verweist, woraufhin die App möglicherweise versucht, die gesamte Datei herunterzuladen, wodurch die Akkulaufzeit erschöpft wird und die Grenzen des Datentarifs überschritten werden.
Linkvorschauen lassen sich auch auf einem externen Server generieren, und so funktionieren viele beliebte Apps wie Discord, Facebook Messenger, Google Hangouts, Instagram, LinkedIn, Slack, Twitter und Zoom. In diesem Fall sendet die App zuerst den Link an einen externen Server und fordert ihn auf, eine Vorschau zu generieren, und dann sendet der Server die Vorschau sowohl an den Sender als auch an den Empfänger zurück.
Was ist das neueste Mac-OS-Update?
Dies kann jedoch ein Sicherheitsrisiko darstellen, wenn der Inhalt des gesendeten Links privat ist. Die Verwendung eines externen Servers ermöglicht es diesen Apps, potenziell nicht autorisierte Kopien privater Informationen zu erstellen und diese für einen bestimmten Zeitraum aufzubewahren.
Obwohl viele der Apps eine Datenbeschränkung für den Download von Linkinhalten eingeführt hatten, stellten die Forscher fest, dass Facebook Messenger und Instagram besonders dafür bekannt waren, den gesamten Inhalt eines Links unabhängig von der Größe auf seine Server herunterzuladen. Als Facebook zu diesem Verhalten befragt wurde, sagte es angeblich, dass es dies als 'wie beabsichtigt' ansehe.
Kopien, die auf externen Servern gespeichert sind, können Datenschutzverletzungen unterliegen, was insbesondere für Benutzer von Geschäftsanwendungen wie Zoom und Slack und diejenigen, die Links zu sensiblen privaten Daten senden, besorgniserregend sein kann.
So koppeln Sie Airpods Pro mit Macbook
Die Forschung bietet eine Einschätzung darüber, wie ein und dieselbe Funktion auf unterschiedliche Weise funktionieren kann und wie diese Unterschiede einen erheblichen Einfluss auf Sicherheit und Datenschutz haben können. Siehe die Kompletter Bericht für mehr Informationen.
Schlagwörter: Cybersicherheit , Mitteilungen
Beliebte Beiträge