れます図１ユーザアカウントを一意に特定するためのブロック/非ブロック設定例特定実行時すなわちアカウント名を特定するためのスクリプトが設置されたウェブサイトに訪問したユーザに対してはそれぞれの特定補助アカウントのページへの通信を強制的に送信させますこのときの通信は Same-Origi

Size: px

Start display at page:

Download "れます図１ユーザアカウントを一意に特定するためのブロック/非ブロック設定例特定実行時すなわちアカウント名を特定するためのスクリプトが設置されたウェブサイトに訪問したユーザに対してはそれぞれの特定補助アカウントのページへの通信を強制的に送信させますこのときの通信は Same-Origi"

さなえやぶき
5 years ago
Views:

1 ソーシャルウェブサービスにおける新たなプライバシー脅威 Silhouette について NTT はソーシャルウェブサービスに対する新たなプライバシー脅威 Silhouette (シルエット) を発見しました本稿ではこの脅威の概要および原理と対策手法について解説します 1. 概要本脅威はソーシャルウェブサービス 1 以下 SWS のユーザが悪意のある第三者のウェブサイトに訪問した際に当該ユーザが所有する SWS のアカウント名が第三者のウェブサイトから特定されうるというものです SWS のアカウントにはユーザの実名や顔写真位置情報日々の投稿といった情報が含まれているため意図しない第三者に特定されることで重大なプライバシー情報が露見してしまうこととなりさらにソーシャルエンジニアリングや脅迫といった攻撃に発展する可能性があります例えば検索エンジンの結果や一般的なウェブサイトに含まれる広告メールに含まれるリンクなどを経由して本来 SWS と全く関係のない悪意のあるウェブサイトへアクセスしてしまった際にその悪意のあるサイトはユーザが利用しているであろう SWS への通信をユーザにはわからないよう秘密裏に行いユーザの SWS のアカウント名を特定してしまいます特定が成立してしまう条件はパソコンやモバイル端末のウェブブラウザにおいて本脅威に対して脆弱な SWS へのログイン状態を保持しているユーザが悪意ある第三者の設置したウェブサイトに訪問するというものです一般的な SWS ではログアウトを明示的に実施する等の操作によってブラウザの Cookie 2 が削除されるまで自動的にログイン状態を保持する仕組みになっていますしたがって過去に一度でも脅威の対象となる SWS を利用した経験のあるユーザは特定の対象となってしまうおそれがあります 2. 原理本脅威が成立する原理について解説します本脅威を成立させるために SWS に広く採用されているユーザブロックという機能が悪用されますユーザブロックは本来正当なユーザが悪質なユーザに対して自身のページ閲覧可否をコントロールしハラスメントやスパム行為から身を守るための機能ですここで注意しなければならないのは悪質なユーザもまた正当なユーザに対してページの閲覧可否をコントロールできてしまうという特徴です事前準備として悪意ある第三者は SWS 内に自らアカウントを作成します以下特定補助アカウント特定補助アカウントを複数用意し同一サービス上のユーザらを計画的にブロックすることでさまざまな閲覧可/閲覧不可の組み合わせパターンを構築することができますこのパターンはユーザアカウントを一意に識別するための情報として利用さ 1

2 れます図１ユーザアカウントを一意に特定するためのブロック/非ブロック設定例特定実行時すなわちアカウント名を特定するためのスクリプトが設置されたウェブサイトに訪問したユーザに対してはそれぞれの特定補助アカウントのページへの通信を強制的に送信させますこのときの通信は Same-Origin Policy 3 によって保護されているため第三者は応答内容を直接的に取得することはできません図２ Same-Origin Policy による応答内容の保護 2

3 しかしながら閲覧可能時と閲覧不可能時では通信の応答時間には統計的な差異が発生します悪意ある第三者はこの差異を用いて訪問ユーザがそれぞれの特定補助アカウントからブロックされているかどうかを推定することができます最後に推定結果をあらかじめ構築したパターンと照合することで当該ユーザの SWS におけるアカウント名を特定しますより詳細な説明や実験結果については我々が発表した論文 4 に記載されていますのであわせてご参照ください 3. 対策手法本脅威に対して SWS 事業者およびユーザが実施可能な対策手法をそれぞれ紹介します本脅威はクロスサイトリクエストフォージェリ( 5 以下 CSRF)とタイミング情報を使ったサイドチャネル攻撃 6 を組み合わせた攻撃であるためこれらのいずれかを防御することで対策が実現します CSRF はウェブサービスのプログラム変更を伴う汎用的な対策が知られています以下では CSRF の対策に主眼を置いた対策手法を紹介しますなおサイドチャネル攻撃の対策にはタイミング情報の特性を考慮した専門的な見地が必要とされますこちらの詳細については論文をご参照ください 3.1 前提条件本脅威の対象となり得るサービスはアカウント登録機能を有しなおかつユーザブロック機能などによってあるユーザが他のユーザに対してユーザのコンテンツページ(たとえばプロフィールなど)の閲覧権限を強制的に変更できる機能を持っている SWS となりますこれらに該当しないサービスは本脅威の対象ではありません 3.2 SWS による対策 SWS はサービスへの影響を勘案した上で適切な対策手法を選択することが望ましいです以下に SWS が実施できる対策手法を 2 つ紹介しますリクエスト検証 CSRF では JavaScript によってユーザおよびサービスが意図しない HTTP リクエストが発生しますこのときサーバー側でリファラやリクエストパラメータを検証することで正当なリクエストであるかどうかを判別し不正なリクエストを棄却するという対策手法が知られています具体的な手順については IPA 安全なウェブサイトの作り方 7 の該当項目をご参照くださいリクエスト検証はウェブサービスへの投稿等を行う POST メソッドを受け付けるページで採用されることが多いですがユーザプロフィールのような GET メソッドを受け付けるページにおいても採用することができますただしこの場合検索エンジンやブログ記事から直接リンクされた際に検証に失敗し不正なリクエストとして棄却してしまう可能性がありますそこで検証に失敗した際にはサーバーが実際のコンテンツを含まない中間ページを返した後その中間ページの JavaScript によって実際のコンテンツを取得すると 3

4 いう手順を加えることで通信ホップ数は増加するものの直接リンクからのアクセスを阻害することなく対策できます SameSite 属性 SameSite 属性 8 が付与された Cookie は JavaScript 等による異なるサイトへのリクエスト時に送信されなくなりますしたがってログイン状態を管理する Cookie にこの属性を指定することで本脅威を含む CSRF を広く対策することが可能となりますただし SameSite 属性を利用するためにはユーザの用いるウェブブラウザが SameSite に対応している上で SWS が HTTP ヘッダで SameSite の利用を宣言する必要があります SameSite 属性は現時点ですべてのブラウザで利用できるわけではない点に留意してください SameSite 実装に向けた我々とブラウザベンダの取り組みについてはニュースリリース 9 もあわせてご参照ください 3.3 ユーザによる対策 SWS が本脅威に対して脆弱であり対策を講じていない場合にユーザが実施できる対策手法を 2 つ紹介しますプライベートブラウジングの利用現在の主要なウェブブラウザではプライベートブラウジング機能が備わっていますこれはシークレットモードプライベートウィンドウ InPrivate などとも呼ばれておりこの機能を有効にしている間は今までの Cookie 情報を引き継ぐことなくまた終了時には新たに保持した Cookie を破棄するようになりますプライベートブラウジングを有効にしてから第三者のウェブサイトに訪問することで本脅威によるアカウント名の特定を防ぐことができます SWS からのログアウト本脅威ではユーザが SWS にログインしているという状態に基づいてアカウント名の特定が実現します SWS にログインしてサービスを利用した際は終了時に毎回ログアウトを行うなどの手段によってログイン状態を破棄することで本脅威によるアカウント名の特定を防ぐことができます 4. 対外発表と対策への取り組み本研究の成果についてはセキュリティプライバシー分野で著名な国際会議 IEEE Euro S&P'18 10 に採択され 2018 年 4 月に登壇発表を行いましたまた国内最大級の研究会であるコンピュータセキュリティシンポジウムにて最優秀論文賞を受賞するなど学術的に高い評価を得ていますさらに国際会議での発表に先駆けて我々は本脅威の影響を受ける世界的サービスおよびブラウザベンダと連携を図り対策導入を促すことでセキュリティ機構の改善に努めてきましたこの取り組みについてはニュースリリースもあわせてご参照ください 4

5 用語参考文献 1 ソーシャルウェブサービス SWS ユーザが投稿したコンテンツやユーザ同士のコミュニケーションに基づいて形成されるウェブサービスソーシャルネットワークサービスや動画共有サイトのほかウェブフォーラムマイクロブログオンラインゲームオークションサイト等が該当する 2 Cookie ユーザ設定ログインセッション等を管理するためにウェブサービスが訪問ユーザのウェブブラウザに情報を保存できる機能あるいは保存された情報を指す 3 Same-Origin Policy あるオリジンホスト名ポート番号スキームから異なるオリジンに対して通信が発生する際に意図しない干渉や取得から情報を保護するためブラウザに搭載されている制約 4 論文 5 クロスサイトリクエストフォージェリ(CSRF) ユーザが意図しない異なるサイトへのリクエストを強制的に送信させることでデータの奪取や悪性コードの実行権限の取得などを行う攻撃 6 サイドチャネル攻撃応答時間や電力消費量といった実空間の情報を活用しセンシティブなプライバシーの奪取や暗号解読を行う攻撃 7 安全なウェブサイトの作り方改訂第 7 版, pp SameSite OWASP 9 ニュースリリース 10 T. Watanabe, E. Shioji, M. Akiyama, K. Sasaoka, T. Yagi, and T. Mori, User Blocking Considered Harmful? An Attacker-controllable Side Channel to Identify Social Accounts, Proceedings of the 3rd IEEE European Symposium on Security and Privacy (Euro S&P 2018), April 渡邉卓弥塩治榮太朗秋山満昭笹岡京斗八木毅森達哉ユーザブロック機能の光と陰: ソーシャルアカウントを特定するサイドチャネルの構成コンピュータセキュリティシンポジウム 2017 論文集 2017 年 10 月 5

内容 ( 演習 1) 脆弱性の原理解説基礎知識脆弱性の発見方法演習 1: 意図しない命令の実行演習解説 2

内容 ( 演習 1) 脆弱性の原理解説基礎知識脆弱性の発見方法演習 1: 意図しない命令の実行演習解説 2 AppGoat を利用した集合教育補助資料 - クロスサイトリクエストフォージェリ編 - 独立行政法人情報処理推進機構 (IPA) 技術本部セキュリティセンター内容 ( 演習 1) 脆弱性の原理解説基礎知識脆弱性の発見方法演習 1: 意図しない命令の実行演習解説 2 クロスサイトリクエストフォージェリ (CSRF) とは? CSRF(Cross Site Request Forgeries)=