Riesgos de la previsualización de enlaces en aplicaciones de mensajería

Recientemente se ha publicado un estudio donde se analiza la generación de resúmenes o miniaturas de los enlaces enviados a través de aplicaciones de mensajería instantánea, así como los riesgos asociados, tanto desde el punto de vista de la seguridad como de la privacidad.

La previsualización de enlaces es una característica común entre las aplicaciones de mensajería instantánea, mediante la cual se acompaña el enlace enviado con un resumen de su contenido. La generación del mismo puede hacerse de diferentes maneras, con sus implicaciones para la seguridad y privacidad.

No generar previsualización

Se envía el enlace tal cual, sin información sobre el mismo. Es el método más seguro, ya que no se realiza ninguna interacción con el servidor hasta que el usuario decide abrirlo. Utilizado por Signal (si está desactivada la previsualización), Threema, TikTok y WeChat.

El emisor genera la previsualización

En este caso es la aplicación del emisor la que accede a la dirección, recupera el contenido y confecciona el resumen del mismo, enviándolo al receptor. La otra parte muestra la información recibida, sin interactuar en ningún caso con el servidor al que apunta el enlace hasta que, efectivamente, decida abrirlo.

Se trata de la forma más segura, ya que el receptor estaría a salvo en caso de ser un enlace malicioso, pudiendo hacerse una idea de su contenido previa a su apertura.

De acuerdo con la investigación, es utilizado por iMessage, Signal (con la previsualización activada), Viber y WhatsApp.

El receptor genera la previsualización

Esta variante es, sin duda, la menos segura. Cuando la aplicación recibe un mensaje que contiene enlaces, descarga su contenido y lo analiza sin la intervención del usuario, lo que expone la dirección IP en uso por el dispositivo. Un atacante podría enviar un enlace de su propio servidor, obtener la dirección IP de origen de la petición y utilizar alguna herramienta de geolocalización para determinar la ubicación del usuario.

En el momento de la la publicación de esta entrada, los investigadores aún no han desvelado que aplicaciones utilizan este método, y están a la espera de su corrección y distribución para publicarlo.

Utilización de un servidor externo

En el término medio tenemos las aplicaciones que hacen uso de un servidor externo para la generación de los resúmenes. Cuando se envía un enlace, la aplicación de origen lo envía a un servidor de la empresa para genere la vista previa, que será visualizado por ambas partes. Se soluciona el problema de la exposición de la dirección IP, dado que la petición no tiene como origen el dispositivo del receptor, pero es incompatible con los sistemas con cifrado extremo a extremo.

Por otra parte, surgen otras consideraciones relativas a la privacidad. Si se envía un enlace a un fichero de Dropbox, por ejemplo, el servidor ha de descargarlo para realizar su tarea, pero no queda claro si mantiene una copia, durante cuánto tiempo, o si se realizan algún otro tipo de proceso sobre el mismo.

Algunas de las aplicaciones que utilizan servidores externos son: Discord, Facebook Messenger, Google Hangouts, Instagram, Line, LinkedIn, Slack, Twitter o Zoom.

En el informe se detallan otro tipo de problemas relativos al consumo de datos móviles o un uso excesivo de batería. Queda patente la dificultad de implementar adecuadamente una funcionalidad, en apariencia sencilla, que todos damos por hecho.

Más información
https://www.mysk.blog/2020/10/25/link-previews/
https://thehackernews.com/2020/10/mobile-messaging-apps.html