• IT-Karriere:
  • Services:

Apple: iMessage-Linkvorschau leakt IP-Adresse der Nutzer

Die automatische Vorschau von verlinkten Inhalten ist für Nutzer in der Regel praktisch - kann aber zum Problem werden. Weil Apple in iMessage keinen Proxy einsetzt, wird die IP-Adresse der Nutzer einem Server mitgeteilt, sobald sie eine Nachricht mit Link erhalten.

Artikel veröffentlicht am ,
iMessages teilt einem Server bei Linkvorschauen die IP-Adresse der Nutzer mit.
iMessages teilt einem Server bei Linkvorschauen die IP-Adresse der Nutzer mit. (Bild: Screenshot Golem.de)

Apples Messenger-Dienst iMessage kann die IP-Adresse der Nutzer verraten, wenn diese Links in ihren Nachrichten versenden, wie der Entwickler Ross McKillop berichtet. Verantwortlich dafür ist die Vorschau-Funktion, die, ähnlich wie bei Google-News, ein Bild, die Überschrift und den Teaser-Text eines Artikels abruft.

Stellenmarkt
  1. Pöschl Tabak GmbH & Co. KG, Geisenhausen bei Landshut
  2. ERGO Group AG, Düsseldorf

Offenbar sendet iMessage diese Anfrage nicht, wie es normalerweise üblich ist, über einen Proxy. Vielmehr wird der Request direkt vom Smartphone, Tablet oder Mac des Nutzers durchgeführt. Dabei wird dem entsprechenden Server die IP-Adresse, die Art des Gerätes und die Betriebssystem-Version mitgeteilt.

  • Eine von McKillop durchgeführte Beispielanfrage (Screenshot: Golem.de)
Eine von McKillop durchgeführte Beispielanfrage (Screenshot: Golem.de)

Die Anfrage wird außerdem nicht nur vom aktuell benutzten Gerät des Nutzers gestellt, sondern von allen aktiven Geräten. Damit wäre es einem Angreifer möglich, eine Nachricht mit Link an einen Nutzer zu schicken, um herauszufinden, welche Geräte für iMessage konfiguriert sind. Für einen erfolgreichen Angriff ist keine Interaktion des Nutzers erforderlich - die Linkvorschau wird automatisch geladen.

Code wird in Safari geparsed

McKillop schreibt außerdem, dass ein Angreifer eventuell eine Sicherheitslücke in Apples Webbrowser Safari ausnutzen könnte, wenn er einem Nutzer einen entsprechend präparierten Link schickt. Da dieser automatisch geparsed wird, ist auch hier keine Interaktion erforderlich.

Apple hat den Fehler bislang nicht behoben. Nach Angaben von McKillop sollte Apple zum einen Proxy-Server einsetzen und außerdem anonymisierte Geräteinformationen in der Anfrage mitsenden, damit der Link entsprechend aufbereitet werden kann. Nutzer können die Linkvorschau nicht selbständig deaktivieren.

In der vergangenen Woche war bekannt geworden, welche Metadaten Apple bei der Nutzung von iMessage aufbewahrt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. 142,85€
  2. täglich neue Deals bei Alternate.de

zZz 07. Okt 2016

Habe mich verlesen, dachte Dein Vorschlag war, die Vorschau beim Empfänger zu generieren...

zZz 07. Okt 2016

Was soll das denn bringen? Es ist dem Angreifer doch völlig egal, ob er...

Peter Brülls 06. Okt 2016

Es spricht aber doch nichts dagegen, dass der Absender die Linkvorschau generiert und...


Folgen Sie uns
       


Xiaomi Mi 10 Pro - Test

Das Mi 10 Pro ist Xiaomis jüngstes Top-Smartphone. Im Test überzeugt vor allem die Kamera.

Xiaomi Mi 10 Pro - Test Video aufrufen
    •  /