ＳＮＳログイン状態でサイト閲覧 アカウント特定されるおそれ | NHKニュース

ＳＮＳにログインした状態のまま、不正なプログラムが仕込まれたウェブサイトを閲覧すると、個人のアカウントが特定されるおそれがあることが、ＮＴＴの研究でわかりました。こうした危険性は多くのＳＮＳに共通していて、ＮＴＴはユーザーや事業者に注意を呼びかけています。 攻撃者は不正なプログラムを仕込んだウェブサイトを作り、このサイトを閲覧した人のパソコンやスマートフォンを操って事前に用意した攻撃用のＳＮＳのアカウントに次々とアクセスさせます。 その際、閲覧した人がＳＮＳにログインした状態のままだと、ブロック機能を悪用され、どのアカウントの人かが特定されるということです。 こうした攻撃の被害はまだ確認されていませんが、ＮＴＴが実験したところ、「ツイッター」や「フェイスブック」などブロック機能がある少なくとも12のＳＮＳで攻撃に成功したということです。 これに対し、ツイッターやマイクロソフトなどはすでに対

[Hamachiya2]

これのことですかね http://hamachiya2.hatenablog.jp/entry/2011/11/07/183544

[tana_bata]

はまちちゃんのURLが怖くて開けない

[n-styles]

元の論文がこれ。今回の攻撃が通用する主要SNSの中にxvideosが入っている。 http://b.hatena.ne.jp/entry/367698550/ ブロック/非ブロックで1bitなので、特定用のアカウント数nに対し2のn乗のユーザが特定可能。24アカウントで1677万人

[honeybe]

1pxのiframeにmixiページをロードさせて自動で足跡踏ませるやつ？(古

[htnmiki]

増田のアカウントがバレたら死ぬんだがはてなさん大丈夫でしょうか……？

[banocchi]

NTT発表の原文 http://bit.ly/2uJbptw 対策と怖がり方がイマイチ飲み込めていない。

[drunkghost]

公式と別窓で同時閲覧禁止を思い出す古のオタク

[electrica666]

そもそもウェブログインしっ放しだと、ボタンやら置いてるサイトへのアクセスみんなSNS側に伝わってるんだよな。

[and_hyphen]

いらすとやの侵略深まれり、以外のことがわかっていないので解説してほしい

[netcraft3]

NHKにいらすとや登場。この手法は知ってた。

[hokuto-hei]

はまちちゃんのmixi足跡帳みたいなもんか。

[deep_one]

頭に浮かんだ方法だと相当狭いターゲティング攻撃でないと分からない。

[RPM]

書き方が抽象的すぎて、具体的な問題と手法がよくわからない……。

[daybeforeyesterday]

うーむ

[rz1h931f4c]

“ツイッターやマイクロソフトなどはすでに対策を済ませた一方、対策を講じていないサービスも多数存在”

[John_Kawanishi]

ブラウザが覚えてるログイン情報を使う手口は珍しくも新しくないと思ったら｢足あと｣ではなく｢ブロック機能｣を使うあたりに時代の変遷を覚える

[sds-page]

アクセスした人間のIPアドレスから大まかな住所が特定可能な脆弱性は

[hevohevo]

ある程度あたりをつけてから特定するのかな。例えば、サービスAのユーザーXXXとサービスBのユーザーYYYが同一人物！みたいな特定ができちゃう？

[punychan]

はてなのアカウントは大丈夫なのか？

[uunfo]

ブロック機能のあるSNSが対象か。ターゲットのSNS上に作ったn個のアカウントでのブロックの有無のパターンは2^n通り。そのパターン1つ1つに訪問を知りたいアカウントを割り当てておけばブロック状態から特定できる、

[kazkaz03]

ぱっと見ただのCSRFと思ったけど、ブロックリストを用いたサイドチャネル攻撃との組み合わせという点で斬新なのかな

[tettekete37564]

XSS 脆弱性じゃなくて？

[napsucks]

このURLをimgタグで読み込ませるとかそういう話ではなさそう・・→ https://www.hatena.ne.jp/logout

[oldriver]

「アカウントを特定されたくない場合は、こまめにログアウトすることが有効だ」← PCではChromeのユーザー切り替え機能を使うのが現実的でよい気がする。スマホではアプリ。

[blueeyedpenguin]

応答時間でわかっちゃうのか。すごい手法。

[love0hate]

論文ざっと読んだ感じ、理論上N垢で2^N垢特定可能だが、1垢で最大2^N垢ブロックする必要があるので、不特定多数の特定は現実的には無理かと。SNSにブロック数上限があればそれも制約になる。

[interferobserver]

誰もブロックしてなくても特定できるの？

[hatomugicha]

よく分からんけど複数のアカウントを用意してブロック対象ユーザーを寄り分けて、スクリプトを踏ませて足跡から特定しようって事なのかや

[fujikolp]

あらかじめブロックのパターンを作っておくってそんな簡単にできるものなのかな？数アカウント狙い撃ちならまだしも不特定多数を特定するのは攻撃側も骨が折れそうだけど…

[itochan]

で、それが本当なら、法的に何という法律によりどんな処罰が適用されるのか、までを解説して欲しいんですけど。　たぶんこれウソ＞このサイトを閲覧した人のパソコンやスマートフォンを操って

[sunamandala]

なにいってるのかまったくわかんない…

[atuipapan]

毎回ログアウトはめんどくせぇ〜

[atsushifx]

自分の理解だけど、ブロックリストを使ったフォックスハンティングみたいなもの？　複数のブロックリストから、共通されているアカウントを探せば特定可能ということ

[acealpha]

ほー これは面白い

[yota3000]

スパブロしないほうがいいってことになっちゃう

[kazatsuyu]

なるほど、あらかじめ複数のアカウントで全ユーザーをブロックしておいて、そのユーザーページにアクセスするまでの時間を測定して長短を1bitに変換すると

[umiusi45]

いらすとや、ああいらすとや、いらすとや

[kuroaka1871]

NHKでもいらすとや使うんだなぁ