연구원들은 앱의 링크 미리보기가 사용자의 데이터를 노출하는 방법을 보여줍니다.

[아름이]

연구원들은 앱의 링크 미리보기가 사용자의 데이터를 노출하는 방법을 보여줍니다.

거의 모든 인기있는 메시징 앱은 사용자가 URL의 콘텐츠를 미리 알 수있는 링크 미리보기를 제공합니다. 그러나 보안 연구원 인 Talal Haj Bakry와 Tommy Mysk는 이러한 링크 미리보기가 iOS 및 Android 앱 모두에서 사용자 데이터를 노출 할 수 있음을 발견했습니다.

메신저, WhatsApp, 심지어 iMessage와 같은 메시징 앱을 통해 링크를 보내면 해당 앱은 일반적으로 이미지, 제목 및 때로는 짧은 텍스트가 포함 된 링크의 미리보기를 생성합니다. 이것은 매우 유용한 기능이지만 Bakry와 Mysk는 이에 대한 개인 정보 보호 문제를 제기했습니다.

한 걸음 뒤로 물러나서 미리보기가 어떻게 생성되는지 생각해 보겠습니다. 앱은 요약에 표시 할 내용을 어떻게 알 수 있습니까? 내부 내용을 알기 위해 자동으로 링크를 열어야합니다. 하지만 안전합니까? 링크에 멀웨어가 포함되어 있으면 어떻게됩니까? 또는 링크가 매우 큰 파일로 연결되어 앱이 데이터를 다운로드하고 사용하는 것을 원하지 않는 경우 어떻게해야합니까?

연구원들은 이러한 미리보기를 생성하는 여러 가지 방법이 있으며 일부 방법이 다른 방법보다 더 안전하다고 설명합니다. 예를 들어 iMessage 및 WhatsApp은 다른 사람에게 URL을 보낼 때 바로 URL의 콘텐츠를 가져옵니다. 이것은 아마도 당신이 무엇을 공유하고 있는지 알고 있다는 것을 의미하고 또한 다른 사람이 당신이 생성 한 미리보기를 받게 될 것입니다.

그러나 Reddit 및 기타 앱은 수신기의 장치에서 미리보기를 생성합니다. 이러한 앱에서 링크를 받으면 백그라운드에서 URL을 열고 미리보기 링크를 생성합니다. 이 방법을 사용하면 알 수없는 사람이 휴대 전화의 IP 주소 및 그에 따른 대략적인 위치와 같은 장치에서 데이터를 수집하는 악성 링크를 보낼 수 있습니다.

그러나 실제로 개인 데이터를 위험에 빠뜨릴 수있는 세 번째 접근 방법이 있습니다. 연구원이 지적했듯이 Discord, Messenger, Instagram 및 Twitter와 같은 앱은 발신자 및 수신자 장치 대신 원격 서버에서 이러한 링크 미리보기를 생성합니다. 사용자의 경우 이러한 URL 메시지가 종단 간 암호화되지 않으므로 이러한 서버에 액세스 할 수있는 모든 사용자가 채팅 콘텐츠를 볼 수 있습니다.

또한 이러한 앱 중 일부는 큰 파일이더라도 미리보기를 자동으로 생성하고 다운로드한다는 사실을 발견했습니다. 예를 들어 Facebook Messenger는 사용자 상호 작용없이 최대 20MB의 파일을 다운로드 할 수 있습니다. 이는 이미지와 텍스트를 표시하는 데 불필요 해 보입니다. 물론 이는 미리보기가 온라인으로 생성되기 때문에 개인 파일이 암호화없이 이러한 회사의 서버에 저장된다는 것을 의미합니다.

OneDrive에서 링크를 공유 한 비밀 디자인 문서가 더 이상 공유하고 싶지 않아 삭제했다고 생각 했나요? 이러한 링크 미리보기 서버 중 하나에 복사본이있을 수 있습니다.

연구자들은 테스트 중 하나에서 미리보기 링크를 자동으로 다운로드하는 이러한 앱을 통해 링크를 전송하여 수신자의 IP 주소를 얻을 수있었습니다. 또한 어떤 경우에는 웹 페이지가 이러한 미리보기를 통해 악성 자바 스크립트 코드를 실행할 수도 있다고 경고합니다.