「Webブラウザの閲覧履歴や閲覧中のサイトのソースコードを盗む新手法」記事へのコメント

抜け道?

[fcp (32783)]

Firefox では Bug 147777 [mozilla.org] で対応済みのはずの問題ですが、今更話題になるということは、何か抜け道があったということでしょうか。時間計測攻撃は最初から、 SVG filter を使う話はたぶん 2008 年に出ています。どっちも 2010 年の時点で対応済みのはずなのですが。

Re:

[Anonymous Coward]

それはCSSの色設定を取得する手法で、今回のは、描画時間を計測する手法とのことで、異なる手法を用いていることになりますが、CSS問題のときに、今回の問題も対応されているはずだということでしょうか。

Re:

[Anonymous Coward]

リンク色についても(描画時間に違いが出る可能性のある)透明度の変更は認めないなど、タイミング攻撃対策は行なっていないわけではないのですが、履歴へのアクセス時間の差異はかなりどうしようもない感じがしますね。

Re:抜け道?

[Anonymous Coward]

ってか当のバグに「タイミング攻撃問題は未解決だよ」って書いてあった。
https://bugzilla.mozilla.org/show_bug.cgi?id=147777#c294 [mozilla.org]
関連してそうなバグが未解決なことからも解決の困難さがうかがえる。
https://bugzilla.mozilla.org/show_bug.cgi?id=557579 [mozilla.org]
https://bugzilla.mozilla.org/show_bug.cgi?id=557655 [mozilla.org]

Re:抜け道?

[fcp (32783)]

知りませんでした。情報ありがとうございます。

Re:

[Anonymous Coward]

ランダムに遅延入れても人間相手なので問題無いとおもいますが、そんな単純な事じゃないっていうことでしょうか？

Re:

[Anonymous Coward]

> 人間相手
JavaScriptで機械的に計測してるんじゃないの?
コンマ数秒リンクの反応が遅れただけで○○$の収入の減少に直結するとかamazonもGoogleも研究結果出してるし、ブラウザはものすごいスピード競争してるってのに人間相手でも現実的な対策とは思えない。

速度が変えられないなら、時間の方を変えればいい

[Anonymous Coward]

Javascriptで取得できる時間の方を（秒未満だけ）
ランダムに進むようにすればいいんじゃないか？

Re:

[Anonymous Coward]

アホか、悪影響の方が大きすぎるわ。
むしろ最近ナノ秒単位で取得できるようになったってのに、時間をナメすぎ。

Re:

[Anonymous Coward]

単純にランダムな遅延を入れただけでは、多数のデータの統計を取ると、結局ノイズから信号が浮かび上がってきますよ。
もちろん困難さは増加するので、ちょっとした緩和策としてはいいのですが。

Re:

[Anonymous Coward]

パスワードクラックの古典的手法で同じ（反応時間の差で正解の文字
を求める）のがあったけど、それの対策するのにアセンブラレベルで処理数
同じにする必要とかあったからなあ。

Re:

[Anonymous Coward]

SSLでもあった。
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0169 [mitre.org]

Re:

[Anonymous Coward]

近年の CPU では高速化のためのテクノロジのせいでステップ数が同じでも実行時間に差がでたりしそうですね…

BCASも

[Anonymous Coward]

BCASのカードがクラックされる原因になったのもこれ。
東芝か松下かどっちかのカードについて、パスワードに対する応答時間が入力文字列依存で変わってしまう事象があったことを応用して解析した模様.....。

Re:

[Anonymous Coward]

とりあえず layout.css.visited_links_enabled を false にして訪問済みリンクは Link Status Redux [mozilla.org] のようなアドオンを使うという回避策はこの手法にも有効なはず。