Пользователи Max заметили, что фотографии из личной переписки в мессенджере размещаются в открытом доступе — их можно увидеть по прямой ссылке на изображение

При загрузке фотографии для её дальнейшей пересылки в чате или сохранения в «избранном» генерируется статичная гиперссылка на изображение. Её можно найти в веб-версии Max, открыв код страницы. По этой ссылке фотография будет открываться для всех пользователей интернета, даже если у них нет Max. Более того, файл по прямой ссылке сохраняется, если пользователи удалили фотографию из своей переписки, выяснили пользователи платформы «Пикабу».

В пресс-службе Max утверждают, что другие пользователи могут увидеть фото, «только если владелец добровольно поделится ими или ссылкой на них», которую «нельзя подобрать или сгенерировать», цитирует государственное агентство ТАСС.

Технический специалист, с которым «Эхо» поговорило на условиях анонимности, согласен, что «просто так» подобрать адреса файлов конкретного пользователя, сохранённых на серверах Max, действительно невозможно, поскольку «в ссылках используется случайно сгенерированный идентификатор с достаточной энтропией». Однако он отметил другие угрозы безопасности, которые возникают из-за доступности изображения по прямой ссылке.

💬 «В случае комбинации разных факторов данные могут утечь и стать доступными широкой аудитории, когда пользователь этого совсем не ожидает, например, через индексацию поисковиками. Прямо сейчас в веб-архиве уже можно найти более 10 тысяч таких ссылок», — рассказал собеседник редакции.

Кроме того, он полагает, что из-за структуры прямой ссылки, которая состоит из нескольких частей, включая идентификатор самого изображения и идентификатор чата, при некоторых условиях возможно сопоставление ставших таким образом публичными фотографий с личностями участников переписки.

Наконец, специалист тоже обратил внимание на то, что при удалении фотографий из переписки они остаются на сервере.

💬 «Сохранение данных даже после желания пользователя их удалить — частая проблема социальных сетей и мессенджеров, которая объясняется особенностями технической реализации и дороговизной удаления данных на больших масштабах, но в комбинации с отсутствием аутентификации ссылок это может приводить к более неприятным последствиям», — отметил эксперт.

Накануне стало известно, что Max может отслеживать пользователей VPN. Кроме того, приложение проверяет доступность доменов таких сервисов, как Telegram, WhatsApp или Google, и передаёт результаты обращения на сервер Max.