Berichtenapps lekken persoonlijke data
Een onderzoek laat zien dat je met het uitwisselen van een linkje soms persoonlijke data kunt vrijgeven. Ook kunnen de apps veel meer data verbruiken en je batterij leegtrekken. Facebook Messenger en Instagram zijn daarbij de grootste boosdoeners. Ook LinkedIn krijgt een veeg uit de pan.
Linkjes doorsturen doen we allemaal wel eens. In plaats van een volledige PDF te versturen gebruiken we liever een link naar een bestand op Dropbox, iCloud of Google Drive. Maar beveiligingsonderzoekers Talal Haj Bakry en Tommy Mysk hebben nu ontdekt dat de previews van deze links vaak meer data verklappen dan je zou willen. Het gebeurt zowel op de iPhone als op Android-toestellen. Stuur je een link via een berichten-app zoals WhatsApp, iMessage of Facebook Messenger, dan wordt een preview van de link gemaakt. Deze bevat vaak een afbeelding, titel en soms nog een korte tekst. Nuttig, want dan kan de ontvanger meteen zien of de link interessant genoeg is om te openen.
Goed: iMessage en WhatsApp
Om een preview te kunnen maken moet de app echter wel de link openen en data ophalen. Daarbij zijn volgens de onderzoekers meerdere methoden mogelijk en die zijn niet altijd veilig. Twee apps die het netjes aanpakken zijn iMessage en (suprise!) WhatsApp. Die laatste komt ook uit de keukens van Facebook, maar doet het beter dan de andere berichtenapps uit hetzelfde concern. iMessage en WhatsApp genereren een preview op het toestel van de verzender. Deze preview wordt lokaal aangemaakt, dus je weet wat je verstuurt en weet zeker dat de preview door de andere persoon is gegenereerd. De link hoeft op het toestel van de ontvanger niet meer geopend te worden en dat is veiliger, want er kan dan ook geen malware in actie komen.
Minder goed: Reddit
Reddit genereert pas een preview als de link bij de ontvanger is. Het opent automatisch de link om te kijken wat er moet worden getoond. Dit gebeurt op de achtergrond, waarbij ook ongewenste acties kunnen plaatsvinden zoals het verzamelen van je IP-adres en locatie. Pas dan wordt de preview getoond.
Slecht: Twitter, Instagram, Facebook Messenger, LinkedIn
De slechtste oplossing vind je bij apps zoals Instagram. Deze gebruiken een server om een preview van de link te maken. De berichten zijn dan niet end-to-end versleuteld en iedereen die toegang heeft tot de server (bijvoorbeeld Facebook) kan zien welke informatie jij hebt doorgestuurd. Het kan daarbij ook gaan om vertrouwelijke documenten met een ‘onmogelijk’ te raden URL.
Op die manier kan een formulier met geheime informatie naar de Facebook-servers gedownload worden, terwijl jij dacht dat je alleen maar een linkje stuurde. Facebook kan complete documenten downloaden, zelfs als het vele gigabytes in grootte is. LinkedIn, Google Hangouts, Slack, Twitter, Zoom en Discord downloaden ook je persoonlijke bestanden, maar halen alleen de eerste 15MB tot 50MB op.
Bron: iculture.nl
