Erg handig als je een kleine preview krijgt wanneer je een linkje plaatst in bijvoorbeeld een WhatsApp-gesprek. Je weet wat je krijgt en je kunt alvast beoordelen of het een betrouwbare link lijkt. Echter zijn het ook juist die mogelijkheden die een gevaar kunnen vormen, zo blijkt uit onderzoek.
Ze kunnen namelijk gevoelige datalekken, maar snoepen van onze data en de batterijduur van het toestel. Gelukkig is de berichtendienst WhatsApp voorzien van end-to-end encryptie, maar onder andere de chatfuncties van Facebook, LinkedIn, Instagram en Line blijken grote problemen te vertonen met die voorvertoning van wat er achter een linkje schuilgaat.
Voorvertoning
Met voorvertoning of preview wordt bedoeld dat er onder het linkje meer informatie verschijnt. Je ziet vaak de website waar naartoe wordt gelinkt, de titel van het bericht, de introductietekst en vaak ook nog de headerfoto. Kortom, je krijgt al meteen een heleboel informatie. Soms zelfs zoveel dat je niet meer op het linkje hoeft te klikken om te weten hoe laat het is. Erg handig. Een mogelijkheid die we te danken hebben aan een proxy zoals ontworpen binnen de app. Hiermee gaat de app zelf stiekem vast naar het linkje toe. Het kijkt wat erop staat en neemt de hoofdlijnen mee terug naar het gesprek.
Gevaarlijk, want wanneer de app de link vast ‘voorbezoekt’, kan er een aanval plaatsvinden. Het is uit onderzoek gebleken dat er hierdoor zelfs malware kan worden gedownload. Ook worden apps soms door kwaadwillenden gedwongen om gigantische bestanden te downloaden.
Deze bestanden zorgen vervolgens dat de app crasht of dat in de achtergrond wordt gedownload. Hierdoor loopt de batterijduur van de telefoon snel terug. Nu is dat bij linkjes naar bekende websites al een gevaar. Dit wordt nog serieuzer op het moment dat er naar een OneDrive of Dropbox wordt gelinkt.
Facebook Messenger
Facebook Messenger en Instagram blijken allebei het gelinkte bestand in zijn volledigheid te downloaden, ook als dat diverse gigabytes groot is. De onderzoekers hebben dit aangegeven bij Facebook, maar dat geeft aan dat deze optie werkt zoals hij bedoeld is. De servers van Facebook downloaden volgens het sociale platform alleen een gedownscalede versie van een afbeelding en deze data zou niet worden opgeslagen.
Bovendien wordt er ook nog JavaScript overheen gedaan voor de veiligheid. De onderzoekers zien echter iets anders: Instagram downloadde een bestand van 2,6GB. LinkedIn bewijst overigens wel te doen wat Facebook pretendeert te doen: het download alleen de eerste 50 MB van een bestand. Slack, Twitter, Zoom, Discord en Google Hangouts hebben allemaal een datamax van tot 50MB.
6 uur geleden
