Googleが渋いセキュリティー新技術、「クッキー泥棒」対策の決め手になるか
米Google（グーグル）といえば、生成AI（人工知能）やクラウドサービスで派手な技術を打ち出す印象が強い。ただサイバーセキュリティー分野では、派手さはないが実用的な技術やサービスをしばしば発表していて、筆者はひそかに楽しみにしている。以前にも「グーグルがオープンソースソフトウエア（OSS）にお墨付きを与える」という渋いサービスを取り上げたことがある。 そんなグーグルが2024年4月2日（米国時間）、また渋いセキュリティーの新技術を発表した。同社が「デバイス・バウンド・セッション・クレデンシャルズ（DBSC）」と呼ぶ技術である。まだあまり注目されていないが、「クッキー泥棒」ともいうべきサイバー攻撃への対策の決め手になる技術かもしれない。そう感じ、サイバーセキュリティーの専門家に取材することにした。 「ログインできるクッキー」が狙われている クッキー泥棒とは、ユーザーのWebブラウザーに保存
ウェブアクセスでエラーが続くトラブル、最初に試したい「スーパーリロード」とは
仕事もプライベートもネット漬けの昨今、さまざまな場面で皆さん、“困った”を抱えているはず。ちょっとした工夫で解決できるものも少なくない。具体的に見ていこう。 トラブル 何度更新してもウェブサイトのエラーが続く ウェブページの読み込み失敗が続くなら、ブラウザーに保存されたキャッシュやクッキーが犯人かもしれない（図1）。最初に試したいのが、キャッシュを無視して読み込む「スーパーリロード」だ（図2）。これで直ればキャッシュが原因なので、削除すれば解決する（図3）。
多要素認証が効かない「Pass-the-cookie攻撃」の緩和策
前編（多要素認証が効かない「Pass-the-cookie攻撃」の仕組み）では、Pass-the-cookie攻撃の概要と仕組み、リスクを解説した。後編ではPass-the-cookie攻撃を緩和する方法を紹介する。 MFAを無効にする攻撃が内包する「広範囲に広がる」という性質により、ユーザーのリスクは大きくなる。Bitdefenderのアーセン氏は次のように話す。「Cookieとセッションのハイジャックは、特にSSO（シングルサインオン）を導入している企業にとっては非常に懸念される。サイバー犯罪者は盗み出したCookieやセッションを使ってそのIDが関連付けられた複数のWebアプリケーションにアクセスする可能性がある」 OneSpanのフレデリック・メネス氏（製品セキュリティ部門ディレクター）もこのリスクが注目に値することに同意し、次のように話す。「Pass-the-cookie攻撃の実
多要素認証が効かない「Pass-the-cookie攻撃」の仕組み
最近の一連のサイバー攻撃は、多要素認証（MFA）の有効性に疑問を投げ掛けている。 2021年1月初め、米国土安全保障省サイバーセキュリティおよびインフラストラクチャセキュリティ庁はアラートを発し、クラウドの構成を強化するよう助言した。 同庁によると、リモートワークの急増でクラウドサービスへのアクセスに使う端末に企業端末と個人端末が混在するようになったことにより、こうした攻撃が多発している可能性が高いという。 サイバー犯罪者はフィッシングやログインの総当たり攻撃など、多種多様の技法を駆使している。MFAを突破する「Pass-the-cookie攻撃」も仕掛けている。 MFAは魔法ではない Pass-the-cookie攻撃自体は新しい脅威ではない。Tessianのトレバー・ルーカー氏（情報セキュリティ部門責任者）によると、これはかなり標準的な攻撃で、セッションCookieのアクセス権を手に入
米グーグル、今後2年以内にサードパーティークッキーの利用を段階的に停止
米グーグル（Google）は2020年1月14日（現地時間）、同社のWebブラウザー「Chrome」が今後2年以内に「サードパーティークッキー（Cookie）」の利用を段階的に停止するとブログで公表した。Web閲覧時のプライバシー保護を求めるユーザーの声に対応する。 サードパーティークッキーはユーザーがアクセスしたWebサイトのドメイン以外のインターネット広告事業者といった第三者が、ユーザーの端末にデータを保存して他のサイトからWebブラウザーなどを識別できる。ユーザーがどの情報を閲覧したか、どの商品を購入したかといった行動履歴を追跡して、個別広告の自動表示などに利用できる。 グーグルは2019年8月に提唱した「プライバシーサンドボックス（Privacy Sandbox）」と呼ぶプライバシー保護強化を目指すオープンな標準仕様の策定を通じて、Webの新たなエコシステム構築を目指している。同社
履歴や検索結果の怪現象（その2）
図1 Yahoo! JAPANは、Googleの検索エンジンを利用しているため、両者の検索結果はほぼ同じ。ただし、画像検索やレシピ検索など、Yahoo! JAPANが独自の検索結果を付加することもある その理由は、Yahoo! JAPANがGoogleの検索エンジンを利用しているため。検索キーワードが同じなら、基本的に結果は同じになる。 ただしYahoo! JAPANでは、独自機能に基づく検索結果が加わることがある。関連する画像や、提携するまとめサイト「NAVERまとめ」の話題などだ。 「リアルタイム検索」という、Yahoo! JAPANならではの検索機能もある。TwitterやFacebookへの投稿をリアルタイムに探せる機能で、Googleでは利用できない。あるテーマに関する、今の世間の評判を知りたいときなどに便利に使える。検索キーワードの後ろに「なう」を付けるだけで検索できる（図2）
ブラウザのプライバシーモードを無視してしまう「スーパークッキー」とは？
ウェブサイトを閲覧するにはInternet ExplorerやGoogle Chrome、Firefox、Safariなどのウェブブラウザを使用する必要があり、これらのウェブブラウザにはプライバシー情報を保護するためにブラウジング時の履歴やCookie(クッキー)、一時ファイルなどを残さないプライバシーモードが存在します。しかし、プライバシーモードを使用してもこれらの機能を無視してユーザーの行動をトラッキングしてしまう「スーパークッキー」という手法が新たに生み出されました。 Browsing in privacy mode? Super Cookies can track you anyway | Ars Technica http://arstechnica.com/security/2015/01/browsing-in-privacy-mode-super-cookies-can-t
HTTPSを使っているのにCookieに「secure」属性を設定していない危険なサイトが話題に | スラド セキュリティ
最近SSL関連の脆弱性がたびたび話題になったが、これに関連してか、HTTPSを利用しているのにCookieのsecure属性を設定していないサイトについてが話題になっているようだ（セキュリティ研究家高木浩光氏によるTogetterまとめ）。 Cookieのsecure属性については、2004年に高木浩光氏がまとめた「安全なWebアプリ開発の鉄則 2004」の「CookieにSecure属性を」以下が分かりやすいが、この属性をセットしておくと、HTTPSでの通信時にのみそのCookieが送信される、というもの。secure属性が設定されていない場合、HTTP通信の際にもそのCookieが送信されるため、通信内容を傍受するなどでセッションIDなどが盗まれる可能性がある。 高木氏が検証したところ、secure属性が設定されていないサイトとしては全日空やニコニコ動画、OCNメールなどがあった模様。
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
cookie削除後も行動追跡を続ける「supercookie」に研究者が警鐘
スタンフォード大学の研究者は、Microsoftが運営する「live.com」サイトでsupercookieの手法を使って削除したはずのcookieが再生されているのが見つかったと報告した。 米MicrosoftなどのWebサイトがユーザーには管理できない「supercookie」を使ってユーザーのネット上の行動を追跡していたことが分かったとして、米スタンフォード大学の研究者がブログで調査内容を報告した。 研究者のジョナサン・メイヤー氏によれば、supercookieとは通常のcookieを使わずにユーザーの行動を追跡する技術のことで、中にはsupercookieを使ってcookieを「再生」し、「ゾンビcookie」を作り出しているWebサイトもあるという。 このやり方は、ユーザーが自分のプライバシーを守るためにcookieを削除した後も行動追跡を続けることになるため、「コンピュータセキ
Java Solution FAQ：Cookieによるセッション管理の実現
セッション管理を実現する方法は幾つかありますが、そのうちの1つはCookieを使用する方法です。このCookieとは何かという点から説明を始めます。 Cookieは、“パラメータ名＝値”という形式を持った文字列情報です。クライアント固有の情報をCookieに保管することで、サーバ側は各クライアントに対応した処理を行うことができます。Cookieは、サーバ側（CGIやサーブレット）で作成され、HTTPのヘッダに埋め込まれる形で、クライアントに送信されます。クライアント（ブラウザ）は、受け取ったCookieをメモリまたはハードディスクに保存します。クライアントがサーバにアクセスするときは、自動的に保存していたすべてのCookieがHTTPのヘッダに埋め込まれてサーバに送信されます。 上図は、ログイン処理を行い、商品を購入するようなHTTPのやりとりにおいて、クライアント固有の情報をCookie
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Googleが導入予定の広告表示技術「FLoC」、他のブラウザベンダーはそっぽを向いたまま【やじうまWatch】
「Google Chrome」でFLoCの試験運用が開始 ～個人情報保護型の広告ソリューション／初期テストは日本を含む地域のごく一部のユーザーが対象。4月には管理UIを追加へ
Google、脱「クッキー」加速 4月から広告主と試験運用 - 日本経済新聞
日本経済新聞
https://jp.techcrunch.com/2013/02/26/20130225apple-rejecting-apps-using-cookie-tracking-methods-signaling-push-to-its-own-ad-identifier-technology-is-now-underway/
HTTP Cookies
https://www.ietf.org/rfc/rfc2965.txt