معاينة الروابط والخصوصية: من الذي يفتح الرابط فعلًا حين ترسله في محادثة؟
روجعت المعلومات على مدوّنة سيغنال وبحث Mysk لعام ٢٠٢٠ والتغطية الصحفية، في ٦ نوفمبر ٢٠٢٦. التطبيقات تتغير، فانتبه إلى التاريخ.
تلصق رابط خبر في محادثة فتظهر بطاقة أنيقة: عنوان وصورة واسم الموقع. يبدو الأمر بريئًا، لكن صنع هذه البطاقة يتطلب أن يفتح جهازٌ ما الرابط. وأيّ جهاز هو، يحدد من يعرف ماذا. وأخبار هذا الأسبوع تذكّر بأن الروابط مراقَبة: في أواخر أكتوبر ٢٠٢٦ بدأت بلوسكاي تحظر الروابط إلى موقع DDoSecrets الذي نشر بيانات مسرّبة لموظفين حكوميين أمريكيين، أي أن المنصات تفحص الروابط التي يتشاركها الناس.
الجواب المختصر: هناك ثلاث طرق لصنع معاينة الرابط. هاتف المرسل يجلبها (فيرى الموقع عنوان IP الخاص بالمرسل). خوادم الشركة تجلبها (فتعرف الشركة كل رابط تشاركه). هاتف المستقبِل يجلبها (فيستطيع أي شخص معرفة عنوانك بمجرد أن يرسل إليك رابطًا). أكثر التصاميم خصوصية تجلب المعاينة عبر وسيط وتنقلها جاهزة داخل الرسالة المشفّرة، فلا يجلب المستقبِل شيئًا أبدًا.
التصاميم الثلاثة وما يكشفه كل منها
| من يفتح الصفحة | ما الذي يتسرّب | من يفعل ذلك (بحسب التقارير) |
|---|---|---|
| جهاز المرسل مباشرة | يرى الموقع عنوان IP الخاص بالمرسل وجهازه؛ لا شيء عن المستقبِل | واتساب وآي مسج (بحسب بحث Mysk) |
| جهاز المرسل عبر وسيط | يرى الموقع الوسيط لا المرسل | سيغنال (اتصال مشفّر عبر وسيط، فلا ترى سيغنال الرابط) |
| خوادم الشركة | تعرف الشركة كل رابط تشاركه حتى في المحادثات «الخاصة» | إنستغرام وماسنجر ولينكدإن وسلاك وديسكورد وإكس (بحث ٢٠٢٠) |
| جهاز المستقبِل | يكفي أن يرسل إليك أحدهم رابطًا لخادمه ليعرف عنوانك وموقعك التقريبي | بعض التطبيقات في ٢٠٢٠؛ نمط معروف بخطورته |
المصادر: مدوّنة سيغنال (٦ فبراير ٢٠١٩)، MacRumors عن بحث Mysk (٢٦ أكتوبر ٢٠٢٠)، The Hacker News.
لماذا يجب ألا يجلب المستقبِل شيئًا
إذا فتح تطبيقُ من تراسله الرابطَ تلقائيًا ليرسم البطاقة، فإن إرسال رابط إلى صفحة تملكها يكفي لرؤية عنوان IP الخاص به، أي مدينته التقريبية ومزوّد الإنترنت. وقد أظهر بحث طلال حاج بكري وتومي مِسك عام ٢٠٢٠ هذا التسرب، ووجد أن بعض خوادم الشركات نزّلت ملفات ضخمة (قيل إن إنستغرام سحب ٢٫٦ غيغابايت لمعاينة واحدة). وبعد ذلك أوقفت فيسبوك معاينة الروابط في ماسنجر وإنستغرام للمستخدمين في أوروبا (MacRumors، ٩ فبراير ٢٠٢١).
ماذا تفعل سيغنال
تصميم سيغنال (٢٠١٩) هو الأشد صرامة فيما نعرف: يفتح هاتفك الاتصال عبر وسيط خصوصية، فلا يرى الموقع عنوانك، ويمر الاتصال المشفّر من هاتفك إلى الموقع مباشرة، فلا ترى خوادم سيغنال الرابط. لا تُصنع المعاينة إلا لروابط HTTPS، ويمكن إيقافها من إعدادات الخصوصية أو حذف معاينة واحدة قبل الإرسال.
كيف تعمل معاينة الروابط في نديمي (جديد في ٦ نوفمبر ٢٠٢٦)
نديمي هو التطبيق الذي نبنيه، فخذ هذا القسم بحذر. أردنا معاينات بلا أسوأ تسرّبين:
- جهازك يطلب المعاينة حين تضغط «إرسال» فقط، ولأول رابط عام في رسالتك.
- خادمنا يجلب الصفحة نيابة عنك. يرى الموقع خادمنا لا عنوان IP الخاص بك، ولا تُرسل ملفات تعريف ارتباط ولا تُحفظ. لا يُقرأ إلا بيانات المعاينة (العنوان والوصف واسم الموقع والصورة) بحدود للحجم والوقت، وتُرفض عناوين الشبكات الخاصة والداخلية.
- جهازك يعيد رسم الصورة بحجم صغير، ثم تنتقل البطاقة كاملة داخل رسالتك المشفّرة على جهازك بتقنية MLS (ونصف المحادثات بأن «التشفير التام بين الطرفين قادم» حتى تُنشر مراجعة مستقلة).
- من ترسل إليهم لا يتصلون بالموقع أبدًا. تطبيقهم يعرض ما وصل فقط.
- والمقابل بصراحة: على خلاف سيغنال، يعرف خادمنا الرابط في تلك اللحظة، ولا نحفظه ولا نسجّله. وإن لم ترد ذلك فأوقف الإعدادات > معاينة الروابط التي أرسلها، أو اضغط بلا معاينة لرسالة واحدة. المعاينة مفعّلة افتراضيًا للمرسل وحده.
- المعاينة يصنعها تطبيق المرسل، والتطبيق المعدَّل قد يزيّفها؛ لذلك يعرض نديمي دائمًا عنوان الموقع الحقيقي على البطاقة.
كيف تقلل تسرّب المعاينات في أي تطبيق
١. أوقف المعاينات حيث يمكن (سيغنال: الإعدادات > الخصوصية > إنشاء معاينات الروابط). ٢. احذف المعاينة قبل إرسال الروابط الحساسة (تظهر علامة X على البطاقة في أغلب التطبيقات). ٣. احذر روابط الغرباء حتى في طلبات المراسلة: فتح الرابط نفسه يكشف عنوانك للموقع. ٤. للروابط الحساسة جدًا أرسل العنوان دون «https://» كي لا يحوّله أي تطبيق إلى بطاقة.
أسئلة شائعة
هل يستطيع أحد معرفة عنوان IP الخاص بي بإرسال رابط إليّ؟ فقط إذا كان تطبيقك يجلب المعاينة لدى المستقبِل، أو إذا فتحت الرابط. سيغنال وواتساب ونديمي لا تجلب معاينات للروابط التي تصلك.
هل يرى واتساب الروابط التي أرسلها؟ رسائل واتساب مشفّرة تشفيرًا تامًا بين الطرفين. وبحسب بحث ٢٠٢٠ تُصنع المعاينة على هاتف المرسل، فيرى الموقع عنوان IP الخاص بالمرسل.
هل معاينة الروابط خطيرة؟ هي تسرّب صغير للخصوصية لا برنامج خبيث بحد ذاتها. يتوقف الخطر على من يفتح الصفحة.
هل يمكن إيقاف المعاينة في نديمي؟ نعم: الإعدادات > «معاينة الروابط التي أرسلها»، أو «بلا معاينة» تحت مربع الرسالة لرسالة واحدة.
المصادر (روجعت في ٦ نوفمبر ٢٠٢٦)
- Signal، I link therefore I am (٦ فبراير ٢٠١٩): https://signal.org/blog/i-link-therefore-i-am/
- MacRumors، معاينات الروابط في تطبيقات المراسلة (٢٦ أكتوبر ٢٠٢٠): https://www.macrumors.com/2020/10/26/link-previews-may-lead-to-security-vulnerabilities/
- The Hacker News، تطبيقات المراسلة ومعاينة الروابط (أكتوبر ٢٠٢٠): https://thehackernews.com/2020/10/mobile-messaging-apps.html
- MacRumors، معاينات فيسبوك وإنستغرام وقانون الخصوصية الأوروبي (٩ فبراير ٢٠٢١): https://www.macrumors.com/2021/02/09/facebook-instagram-link-previews-break-privacy-law/
- Wired، بلوسكاي تحظر روابط تسريب بيانات وزارة الأمن الداخلي (أواخر أكتوبر ٢٠٢٦): https://www.wired.com/story/bluesky-blocks-links-to-major-leak-of-dhs-data/
- نديمي، ما الذي نراه وما لا نراه: https://nadeemi.com/ar/what-we-can-see/
أسماء التطبيقات الأخرى علامات تجارية لأصحابها، وذُكرت للمقارنة فقط، ولا صلة لنديمي بأي منها.
كُتبت هذه المقالة بمساعدة الذكاء الاصطناعي وراجعها إنسان في التاريخ المذكور أعلاه.