安全专家发现链接预览会泄漏敏感数据/消耗带宽/榨干电池

发布时间:2020-10-28 阅读量:975 来源: cnbeta 发布人: Jude

链接预览几乎是主流聊天和即时信息应用中标配的功能,它能预览链接中关联的图像和文本,从而让在线对话更加轻松。但遗憾的是,它们还可能会泄漏我们的敏感数据、消耗我们有限的带宽、耗尽我们的电池,甚至在某些情况下能够暴露原本应该端到端加密的聊天内容。根据本周一发布的研究,目前 Facebook,Instagram,LinkedIn 和 Line 中的信息就存在这样的问题。


当发送者发送了一条包含链接的信息,应用可能会显示该链接随附的文本(通常是标题)和图像,通常看起来会是下面这样的:


截图.png



为此,应用程序本身(或由应用程序指定的代理)必须要先访问该链接,打开文件,并调查其中的内容。而在这个过程中可能会下载恶意程序。其他形式的恶意行为可能会迫使应用下载太大的文件,以至于导致应用崩溃,耗尽电池或消耗有限的带宽。而且,如果链接指向私人材料(例如,将报税表发布到私人OneDrive或DropBox帐户),则应用服务器可以无限期查看和存储它。


本周一,安全研究人员塔拉尔·哈吉·巴克里(Talal Haj Bakry)和汤米·迈斯克(Tommy Mysk)发现,Facebook Messenger 和 Instagram 在方面的表现比较糟糕。如下图所示,两个应用程序都会下载并复制整个链接文件,即使文件大小为千兆字节也是如此。同样,如果文件是用户希望保密的文件,则可能会引起关注。


即使链接的文件容量高达 2.6 GB,在 Facebook Messenger 和 Instagram 两款应用中发送链接预览之后依然会进行下载。



Haj Bakry 和 Mysk 向Facebook报告了他们的发现,该公司表示这两个应用程序都可以正常工作。 Instagram 的所有者 Facebook 在一封电子邮件中说,其服务器仅下载图像的缩小版本,而不下载原始文件,并且该公司不存储该数据。


但是 Mysk 表示,该视频演示了 Instagram 全部下载了 2.6GB 文件(Ubuntu ISO,文件重命名为ubuntu.png )。他还指出,大多数其他 Messenger 会剥离 JavaScript,而不是下载并在其服务器上运行。LinkedIn的表现略好。唯一的区别是,它没有复制任何大小的文件,而是仅复制了前50兆字节。


同时,当 Line 应用程序打开加密消息并找到链接时,它似乎会将链接发送到 Line 服务器以生成预览。Haj Bakry 和 Mysk 写道:“我们认为这违反了端到端加密的目的,因为LINE服务器知道通过应用程序发送的所有链接,以及谁与谁共享链接。”


Discord,Google Hangouts,Slack,Twitter和Zoom也会复制文件,但它们将数据量限制在15MB到50MB之间。下图提供了研究中每个应用程序的比较。




相关资讯
村田BLM15VM系列量产在即:车规级磁珠解决高频通信干扰难题

在智能驾驶飞速发展的时代,5.9GHz频段的C-V2X(蜂窝车联网)和5.8GHz频段的DSRC(专用短程通信)已成为车辆与环境交互的关键神经。然而,GHz频段内日趋复杂的电磁环境却为通信灵敏度与可靠性带来严峻挑战。传统噪声抑制元件在应对高频宽范围干扰时力不从心,高性能宽频噪声解决方案成为行业急需突破的技术瓶颈。村田制作所(Murata)以其深厚的材料技术积淀和创新设计,适时推出了革命性的片状铁氧体磁珠——BLM15VM系列,直击高频车联网通信的核心痛点。

微软战略转型:裁员重组与800亿美元AI投资的双轨并行

据彭博社6月20日报道,微软计划于今年7月启动大规模组织结构调整,预计裁员数千人,主要集中在全球销售与客户服务部门。此举引发行业对科技巨头战略重心迁移的高度关注,尤其引人瞩目的是其裁员节省的资金流向——微软官方确认将在新财年向人工智能基础设施领域投入约800亿美元。

Microchip新一代DSC破解高精度实时控制难题,赋能AI电源与电机系统

在AI服务器爆发式增长、新能源系统复杂度飙升的产业背景下,传统控制芯片正面临三重挑战:碳化硅/氮化镓器件的高频开关控制需求、功能安全标准升级、以及机器学习边缘部署的实时性要求。Microchip最新推出的dsPIC33AK512MPS512与dsPIC33AK512MC510数字信号控制器(DSC),通过78ps PWM分辨率与40Msps ADC采样率的核心突破,为高精度实时控制树立了新基准。

全球扫地机器人市场迎开门红 中国品牌领跑优势持续扩大

根据权威机构IDC最新发布的《全球智能家居设备季度追踪报告》,2025年第一季度全球智能扫地机器人市场迎来强劲开局,总交付量达到509.6万台,较去年同期增长11.9%,连续第二个季度实现超过20%的增长率。市场活力显著提升,展现出强劲复苏势头。

汽车电子革新:TDK高集成PoC电感破解ADAS空间与成本困局

随着ADAS渗透率突破50%(据Yole 2023数据),车载传感器供电与数据传输架构面临革命性变革。传统双线分立设计(电源线+信号线)导致线束占整车重量超3%,且故障率居高不下。TDK株式会社推出的ADL8030VA系列PoC专用电感器,通过单元件高集成方案重构滤波电路,为智能驾驶系统提供空间与可靠性双重优化路径。