L’anteprima di un link può generare una richiesta di rete prima ancora del clic; ma chi invia la richiesta e quali informazioni vede il sito di destinazione dipende dalla progettazione dell’app di messaggistica. La presenza di una miniatura nella chat non dimostra che siano stati esposti gli IP sia del mittente sia del destinatario.
La crittografia end-to-end protegge il messaggio lungo il percorso tra i partecipanti alla conversazione. Il recupero del titolo e dell’immagine di un sito web segue un percorso distinto, che va valutato separatamente.
Tre modi diversi per creare un’anteprima
| Metodo | Che cosa vede il sito di destinazione? | Domanda importante |
|---|---|---|
| Recupero diretto da parte del dispositivo | L’IP della connessione che effettua la richiesta e le informazioni che l’accompagnano | La richiesta avviene durante la digitazione, l’invio o la ricezione? |
| Recupero tramite intermediario o proxy | Di solito l’IP dell’intermediario anziché l’IP diretto dell’utente | Che cosa vede e conserva l’intermediario stesso? |
| Il mittente crea l’anteprima e la invia nel messaggio | Il destinatario potrebbe non collegarsi alla destinazione per visualizzare la scheda | Le immagini della scheda sono locali o vengono recuperate nuovamente dal Web? |
Questi metodi possono essere combinati. Per esempio, Signal ha descritto l’uso di un proxy per le anteprime nella sua spiegazione tecnica del 2019. Il documento è un esempio di progettazione: non va generalizzato senza verifiche a tutte le versioni o a tutte le app. La guida attuale di Signal spiega come disattivare la creazione delle anteprime e rimuovere la scheda prima dell’invio.
IP, identificatore del link e identità non sono la stessa cosa
Il sito di destinazione vede l’IP di chi stabilisce la connessione di rete: può essere un dispositivo, una VPN o un proxy. Un IP da solo di solito non è il nome di una persona né il suo indirizzo di casa preciso, ma insieme all’orario della richiesta e ad altri dati può essere usato per collegare eventi.
Anche un link con un identificatore univoco può indicare che quello specifico URL è stato richiesto. Questa osservazione, da sola, non dimostra chi l’abbia letto: la richiesta può provenire da un’anteprima, uno strumento di sicurezza, il mittente, il destinatario o una persona a cui il link è stato inoltrato.
Inoltre, l’indirizzo IP non è necessariamente un campo all’interno di HTTP: fa parte della comunicazione di rete. Il tipo e il valore di intestazioni come User-Agent dipendono dal software che effettua la richiesta.
Recuperare il titolo di una pagina è diverso dall’eseguirla completamente
Alcune anteprime si limitano a recuperare ed elaborare HTML e immagini. Ciò non significa necessariamente eseguire JavaScript o aprire la pagina in un browser. Al contrario, precaricare o visualizzare una pagina in un ambiente web può comportarsi diversamente.
Poni quindi due domande distinte: «Viene inviata una richiesta al sito?» e «Viene eseguito il contenuto attivo della pagina?». La risposta all’una non determina la risposta all’altra.
Impostazioni pratiche per conversazioni sensibili
- Se non ti serve una scheda di anteprima, controlla l’opzione di creazione automatica nell’app. Rimuovere una scheda dopo che è stata creata non annulla la richiesta precedente.
- Tratta i link sconosciuti e i link personalizzati per accesso, recupero o condivisione di file come dati sensibili. Non inserirli in servizi pubblici di analisi degli URL per testarli.
- Non eliminare arbitrariamente i parametri di un link firmato: potresti compromettere l’accesso o la sua validità. Se possibile, ottieni dalla fonte originale una versione pubblica e non personalizzata della pagina.
- Non confondere la disattivazione delle anteprime con il blocco di tutte le connessioni di rete. L’apertura dei link, le immagini esterne e le altre funzioni hanno ciascuna i propri percorsi.
- Per una valutazione in ambito organizzativo, usa un URL innocuo sotto il tuo controllo e un dispositivo di prova per verificare quando vengono generate le richieste; non generalizzare il risultato di una versione a tutti i dispositivi.
Che cosa si può dire di Livara?
Il modello di minaccia di Livara spiega i confini della protezione dei contenuti privati e i limiti dei dispositivi e della rete. Questa spiegazione generale non permette di concludere che ogni anteprima, in ogni versione, utilizzi necessariamente una connessione diretta o un proxy. Un’affermazione del genere richiede la documentazione della funzione o l’esame di quella specifica versione.
Per la privacy dei link, il percorso della richiesta conta più dell’aspetto della scheda di anteprima.
