Bilder i Linkedin-meddelanden läcker GPS-position

Bildfiler innehåller mer data än den som syns. Bildfiler innehåller även det som kallas metadata, vilket är data som beskriver själva bilden. I metadatan ligger bland annat information om vilken kamera­modell och vilka kamera­inställningar som bilden togs med. Detta blev mobiltillverkaren Huawei varse om 2016 när de publicerade exempelfoton som de påstod att hade tagits med deras senaste flaggskepps­mobil Huawei P9. Bildernas metadata avslöjade att bilderna i själva verket var tagna med proffskameran Canon Eos 5D Mark III.

I metadatan för bilder som tas med en mobilkamera eller GPS-utrustad systemkamera sparas även GPS-positioner. Detta är praktiskt eftersom det gör det möjligt att filtrera och bläddra bland bilder baserat på var de togs. Problemet uppstår när känsliga bilder publiceras på webben utan att fotografen tänker på att denna data ligger inbäddad. Sådan publicering kan avslöja bostads­adresser och andra känsliga platser.

Eftersom metadatan kan vara känslig raderas den automatiskt vid publicering av bilder på sociala medier. Bilder som publiceras på exempelvis Facebook, Twitter, Instagram och Linkedin har all känslig metadata bortplockad. Säkerhetsduon Mysk har dock upptäckt ett undantag från detta när det gäller bilder som skickas i direkt­meddelanden på Linkedin. I ett videoklipp på Youtube visar Mysk hur bilder som skickas via Linkedins direkt­meddelande­funktion bibehåller all metadata.  

Linkedin anser inte att detta är ett problem, vilket det inte heller är så länge avsändaren är medveten om att bilder kan innehålla GPS-positioner. I och med att långt ifrån alla känner till problemet borde Linkedin ta bort metadatan för säkerhets skull.

Rekommendationer för privatpersoner

Mysks upptäckt är en välbehövlig påminnelse om att metadata kan avslöja känslig information. Problemet är nämligen vida brett utanför sociala medier-sfären. Om du publicerar bilder på bloggar, forum och andra webbplatser är det långtifrån säkert att metadatan raderas. Du bör därför säkerställa att dina bilder inte innehåller känslig metadata innan du laddar upp dem till sådana ställen.

Du kan granska merparten av dina bilders metadata, inklusive eventuella GPS-positioner, genom att visa filegenskaperna i Utforskaren (Windows) eller Finder (Mac OS). Du kan radera metadatan genom att kopiera själva bilden ur bildfilen och klistra in den i en ny bildfil. Ifall du inte behöver bibehålla full bildkvalitet kan du göra processen säker och enkel genom att helt enkelt ta en skärmavbild av bilden och ladda upp skärmavbilden i stället. Denna lösning fungerar även på mobilen.

Rekommendationer för organisationer

Moderna CMS-system (Content Management Systems), till exempel Wordpress, komprimerar bilderna som publiceras. I samband med detta låter CMS:en bli att lägga in original­bildernas metadata i de om­komprimerade bilderna. Men eftersom CMS:en ofta behåller de uppladdade original­filerna kan besökare med lätthet ladda ned original­filerna och läsa metadatan i dem.

Om du driver en blogg eller ansvarar för organisationens CMS bör du säkerställa att alla originalbilder raderas efter om­komprimering. I Wordpress kan du göra detta med bildoptimerings­tillägg såsom Litespeed Cache (gå till Inställningar för bildoptimering, aktivera Optimera original­bilder, aktivera Ta bort ursprungliga säkerhetskopior och inaktivera Behåll EXIF/XMP-data).