La nueva característica de vista previa de iMessage, que proporciona a los usuarios una visualización rápida de los sitios web, revela información de red y del dispositivo a los servidores que podría ser usada para realizar vigilancia y ataques.

Ross McKillop, desarrollador de servicios de voz en Internet, detectó que la vista previa de iMessage hace peticiones a los servidores desde los iPhones y las computadoras Mac con los sistemas operativos iOS 10 y macOS Sierra, en lugar de utilizar proxies de la red de Apple.

Esto significa que enviando URLs a los usuarios, la característica de vista previa automática de iMessage mostraría la dirección IP del dispositivo, si el dispositivo es un iPad, iPhone o Mac, y también la versión del sistema operativo en ejecución, McKillop señaló.

La vista previa de iMessage también regresa información sobre el User-Agent que incluye la versión de Safari ejecutándose en el dispositivo.

La información es proporcionada por cada dispositivo propiedad de un usuario y puede ser usada para determinar la ubicación de los usuarios mediante la comparación de direcciones IP presentadas por la vista previa de iMessage y las horas de los registros.

McKillop dijo que la vista previa de iMessage podría representar un vector potencial de ataque, ya que permite identificar versiones vulnerables del navegador web en el dispositivo.

Como las vistas previas son cargadas automáticamente, una vulnerabilidad en Safari podría ser desencadenada simplemente por enviar un iMessage con una URL apuntando a un sitio malicioso, McKillop teorizó.

Las vistas previas de iMessage no pueden ser desactivadas, y no hay ninguna opción para hacer peticiones mediante un servidor proxy para ocultar la información del dispositivo.

"Afortunadamente Apple cambiará esto o creará una opción para hacer las peticiones vía proxy (habilitada por defecto)", McKillop comentó. "[Sin embargo] algunas veces la mejor solución es la más obvia, extraer los metadatos del dispositivo que realiza la petición (obviamente confiando en la URL) y encapsularlos como metadatos dentro del mensaje".

Aún no es claro si McKillop reportó el problema a Apple antes de anunciar públicamente la vulnerabilidad.