Apple: iMessage-Linkvorschau leakt IP-Adresse der Nutzer
Die automatische Vorschau von verlinkten Inhalten ist für Nutzer in der Regel praktisch - kann aber zum Problem werden. Weil Apple in iMessage keinen Proxy einsetzt, wird die IP-Adresse der Nutzer einem Server mitgeteilt, sobald sie eine Nachricht mit Link erhalten.
Apples Messenger-Dienst iMessage kann die IP-Adresse der Nutzer verraten, wenn diese Links in ihren Nachrichten versenden, wie der Entwickler Ross McKillop berichtet. Verantwortlich dafür ist die Vorschau-Funktion, die, ähnlich wie bei Google-News, ein Bild, die Überschrift und den Teaser-Text eines Artikels abruft.
Offenbar sendet iMessage diese Anfrage nicht, wie es normalerweise üblich ist, über einen Proxy. Vielmehr wird der Request direkt vom Smartphone, Tablet oder Mac des Nutzers durchgeführt. Dabei wird dem entsprechenden Server die IP-Adresse, die Art des Gerätes und die Betriebssystem-Version mitgeteilt.
Die Anfrage wird außerdem nicht nur vom aktuell benutzten Gerät des Nutzers gestellt, sondern von allen aktiven Geräten. Damit wäre es einem Angreifer möglich, eine Nachricht mit Link an einen Nutzer zu schicken, um herauszufinden, welche Geräte für iMessage konfiguriert sind. Für einen erfolgreichen Angriff ist keine Interaktion des Nutzers erforderlich - die Linkvorschau wird automatisch geladen.
Code wird in Safari geparsed
McKillop schreibt außerdem, dass ein Angreifer eventuell eine Sicherheitslücke in Apples Webbrowser Safari ausnutzen könnte, wenn er einem Nutzer einen entsprechend präparierten Link schickt. Da dieser automatisch geparsed wird, ist auch hier keine Interaktion erforderlich.
Apple hat den Fehler bislang nicht behoben. Nach Angaben von McKillop sollte Apple zum einen Proxy-Server einsetzen und außerdem anonymisierte Geräteinformationen in der Anfrage mitsenden, damit der Link entsprechend aufbereitet werden kann. Nutzer können die Linkvorschau nicht selbständig deaktivieren.
In der vergangenen Woche war bekannt geworden, welche Metadaten Apple bei der Nutzung von iMessage aufbewahrt.
Habe mich verlesen, dachte Dein Vorschlag war, die Vorschau beim Empfänger zu generieren...
Was soll das denn bringen? Es ist dem Angreifer doch völlig egal, ob er...
Es spricht aber doch nichts dagegen, dass der Absender die Linkvorschau generiert und...