Meta vertelde Ars Technica op 20 oktober dat het deelfunctie van Muse had gepauzeerd terwijl het een rapport van beveiligingsbedrijf Claroc bekeek en nadacht over aanpassingen aan de vindbaarheid van links. Claroc meldde dat pagina’s van gesprekken die gebruikers zelf hadden gedeeld via passieve DNS vindbaar waren. De bevindingen gingen over gedeelde pagina’s, niet over gesprekken die nooit waren gedeeld.
NeoTeo schreef eerder over Muse en contactprofielen. Dit incident gaat over een ander privacyvraagstuk: de vindbaarheid van gedeelde gesprekslinks.
Hoe passieve DNS de links vindbaar maakte
Volgens Claroc bevatte de hostnaam van een gedeelde Muse-pagina de titel van het gesprek, een willekeurige ID en het domein cf.metaaiusercontent.com. Wanneer iemand de pagina opende, kon een DNS-zoekopdracht de volledige hostnaam in een passieve-DNS-dienst laten registreren. Passieve DNS bewaart historische gegevens over hostnamen die bij DNS-raadplegingen zijn gezien. Daardoor kon de titel samen met de ID terug te vinden zijn.
Claroc meldde dat een zoekopdracht in één commerciële passieve-DNS-dataset, na het filteren van ruis door wildcard-DNS, meer dan 6.800 hostnamen opleverde. Dat aantal beschrijft hostnamen uit één dataset en één zoekpatroon, niet het aantal getroffen mensen of alle gedeelde gesprekken.
Welke informatie Claroc aantrof
Bij controles op 7 en 8 oktober opende Claroc enkele honderden pagina’s. De onderzoekers meldden dat een minderheid daarvan gevoelige persoonlijke of zakelijke informatie bevatte. Genoemde voorbeelden waren voorbereiding op een zoektocht naar een topbestuurder, interne bedrijfsinformatie, een leningaanvraag, een melding van bankfraude, vastgoedcijfers en een vakantiekalender van personeel.
Claroc zei geen aanwijzingen voor misbruik te hebben gevonden. De onderzoekers gebruikten één commerciële DNS-dienst en één patroon gedurende een korte periode; hun telling bepaalde niet hoeveel Muse-links er in totaal waren of hoe lang afzonderlijke pagina’s bereikbaar waren.
Wat de controle van 40 links liet zien
Op 20 oktober controleerde Claroc opnieuw 40 links die eerder toegankelijk waren. Geen van die 40 pagina’s opende toen, terwijl de bijbehorende hostnamen en titels in de passieve-DNS-geschiedenis bleven staan. Dat resultaat geldt voor de gecontroleerde links; Meta’s mededeling dat het delen had gepauzeerd betrof de functie terwijl het bedrijf het rapport bekeek.
