连接预览可说是几乎所有聊天和即时消息App普遍必备的功能，当然流行事物都有充分理由，通过提供与连接文件有关的图像和文本，使线上对话更简单轻松。
但不幸的是，当然会泄露用户的敏感资料，消耗有限的带宽，耗尽手机电池，并在某种情况下，会在聊天公开端到端加密连接。根据10月26日研究指出，资料外泄状况最严重的即时消息软件包括Facebook、Instagram、LinkedIn和LINE。
可能下载导致App停摆、消耗电池或带宽的恶意软件
当发送者消息包含连接时，这类App会显示对话以及伴随连接的文本（通常是标题）和图像。要做到这点，App本身（或由App指定的代理程序）必须访问连接、打开文件，并查看其中内容。这么做会让用户受到攻击。最严重的恶意行为莫过于下载恶意软件。其他形式的恶意行为可能会迫使App下载过大文件，导致App停摆、耗尽电池或消耗有限带宽。在这种情况下，连接也会指向私人资料（例如，将报税单发布到私人OneDrive或DropBox账号），App服务器便有机会无限期查看并存储这些资料。
撰写研究报告的研究人员Talal Haj Bakry和Tommy Mysk发现，Facebook Messenger和Instagram的表现最糟。这两个App都会将整个连接文件下载并复制（即使文件大小高达好几Gigabyte也是如此）。同样的，如果用户想保密的文件，势必会引起很大的问题。
另一个问题是，这些App会消耗大量带宽和电池电量。这两个App也会运行连接中任何JavaScript。这是一个问题，因为用户无法审查JavaScript的安全性，且无法期望Messenger拥有现代浏览器拥有的相同漏洞入侵防护机制。
请将连接预览的安全问题纳入考量，否则好功能也会变成大问题
Haj Bakry和Mysk向Facebook通报研究结果，然而却表示这两个App的运行都很正常。至于LinkedIn的表现也只稍微好一点，唯一的区别是，没有将任何文件整个复制，只复制前50Megabyte。
接下来看看LINE App的状况。App打开加密消息并找到连接时，似乎会将连接发送到LINE服务器以生成预览。Haj Bakry和Mysk写道：“我们认为这违反了端到端加密的用意与目的，因为LINE服务器知道所有通过App发送的连接，以及谁分享哪些连接给谁。”虽然Discord、Google Hangouts、Slack、Twitter和Zoom也都会复制文件，但将复制的资料量限制在15~50MB。
总而言之，这项研究带给大家好消息，因显示大多数即时通信App都有做正确的事。如Signal、Threema、TikTok和WeChat都为用户提供可接收无连接预览的选项。对真正敏感的消息和想隐身获得尽可能保护的用户来说，这才是最佳设置。即使提供预览，这些App会使用相对安全的方式渲染。
不论如何，26日的贴文无疑清楚提醒我们，私人消息并不总是隐秘的。“每当你构建新功能时，请务必牢记可能会对隐私和安全造成什么影响，尤其是被全球成千上万的人使用。”研究人员写道。“连接预览是用户通常受益的不错功能，但在这里，我们展示了如果不仔细考虑隐私和安全问题，这功能有可能造成牵连层面甚广的问题出现。”
（首图来源：科技新报）