Google、ユーザー名とパスワードの流出を通知するChrome拡張機能を公開 32
ストーリー by headless
流出 部門より
流出 部門より
Googleは5日、任意のWebサイトへログインする際、過去に流出したユーザー名とパスワードの組み合わせを使用していないかどうか確認するChrome拡張機能「Password Checkup」をChromeウェブストアで公開した(Google Security Blogの記事、
Googleアカウントヘルプ、
The Keywordブログの記事、
Ars Technicaの記事)。
Mozillaは任意のブラウザーで利用可能な個人情報流出を通知するサービス「Firefox Monitor」や、個人情報が流出したWebサイトにアクセスすると通知するデスクトップ版Firefox限定機能の「Firefox Monitor Notification」でHave I Been Pwned?のデータを使用しているが、Googleは独自に収集したデータを使用しているそうだ。
Googleはデータ侵害により流出したユーザー名とパスワードを発見すると、ハッシュ化したうえで暗号化し、ハッシュの先頭2バイト分(プリフィックス)とともに保存しているという。Password Checkupはユーザーが任意のWebサイトにログインする際、ユーザー名とパスワードをハッシュ化してからユーザー側の暗号鍵で暗号化し、ハッシュのプリフィックスと暗号文をGoogleへの問い合わせに使用する仕組みだ。
問い合わせを実行するとプリフィックスが一致するデータに加え、暗号文をGoogleの暗号鍵でさらに暗号化した暗号文が返される。この暗号文をユーザー側の暗号鍵で復号すれば、Google側の暗号鍵のみで暗号化された状態となる。これによりGoogleにユーザー名やパスワードを知らせることなく、ローカルでGoogleのデータとの照合を実行可能になるとのこと。
現在公開されているのは最初のバージョンであり、今後数か月の間にさらなる改善が行われるとのことだ。
Mozillaは任意のブラウザーで利用可能な個人情報流出を通知するサービス「Firefox Monitor」や、個人情報が流出したWebサイトにアクセスすると通知するデスクトップ版Firefox限定機能の「Firefox Monitor Notification」でHave I Been Pwned?のデータを使用しているが、Googleは独自に収集したデータを使用しているそうだ。
Googleはデータ侵害により流出したユーザー名とパスワードを発見すると、ハッシュ化したうえで暗号化し、ハッシュの先頭2バイト分(プリフィックス)とともに保存しているという。Password Checkupはユーザーが任意のWebサイトにログインする際、ユーザー名とパスワードをハッシュ化してからユーザー側の暗号鍵で暗号化し、ハッシュのプリフィックスと暗号文をGoogleへの問い合わせに使用する仕組みだ。
問い合わせを実行するとプリフィックスが一致するデータに加え、暗号文をGoogleの暗号鍵でさらに暗号化した暗号文が返される。この暗号文をユーザー側の暗号鍵で復号すれば、Google側の暗号鍵のみで暗号化された状態となる。これによりGoogleにユーザー名やパスワードを知らせることなく、ローカルでGoogleのデータとの照合を実行可能になるとのこと。
現在公開されているのは最初のバージョンであり、今後数か月の間にさらなる改善が行われるとのことだ。
Firefox版も出たみたいだけど (スコア:2, 参考になる)
入れるとすさまじく重い(CPU占有される)のは私だけだろうか(Firefox 65.0)。
https://addons.mozilla.org/ja/firefox/addon/password-checkup-by-google-com/ [mozilla.org]
Re:Firefox版も出たみたいだけど (スコア:1)
Chrome版もじゅうぶん重いですよ。常駐でメモリ 500MB 近く喰います。YouTube の倍くらい重い。
Re: (スコア:0)
そりゃChromeに乗り換えさせることが目的だからだろ
Re: (スコア:0)
firefoxの方が軽量な拡張機能なんてある？
こう言う拡張機能から (スコア:0)
アカウント情報が漏洩しそうで気が気でない
Re: (スコア:0)
ハッシュの先頭2バイトから漏洩って、すごいハッカーだなｗ
Re: (スコア:0)
某漫画ではセーブデータからゲーム自体を復元してたな
Re: (スコア:0)
＞某漫画ではセーブデータからゲーム自体を復元してたな
ネタバレしない配慮が好きｗ
Re:こう言う拡張機能から (スコア:1)
あのシーンは作者のRPGツクール好きが裏目に出てやらかしたのかもね
RPGツクール3と4はシナリオデータ等をメモリーカードに保存させてディスクの中身はゲームエンジンと言える作りだったし、ついその感覚でやっちゃったのかも。
# ネタバレしてないのはそこじゃないだろ？というのはもちろん、ネタバレしないための配慮です。
Re: (スコア:0)
某アニメではTBクラスのデータを36バイトに圧縮してましたな
Re: (スコア:0)
THcompかな?
Re: (スコア:0)
THcompかな?
CERNcompですよ?
Re: (スコア:0)
SERNcompでは? ていうかそんな愉快なアニメだったのか。まあタイムリープがある世界だしな
Re: (スコア:0)
今の時代にオンライン専用ツールとしてなら実装できそうだよな、THComp。
Re: (スコア:0)
ラージハドロンコンプレッサですね
Re: (スコア:0)
デバッグ用の機能が不意に有効になって全文送信されちゃうとか？
Re: (スコア:0)
さすがに漏れはしないだろうけど、
Googleユーザーがどのサイトにログインしようとしてるか、くらいは把握されるな。
Re: (スコア:0)
それはこの拡張機能に関係なく以前からずっと把握されてるでしょ
アクセスしたウェブサイト上にある自分の全データの読み取りと変更 (スコア:0)
あの、Manifest v3で廃止すると言っている権限を要求してくるんですが
Re: (スコア:0)
何か問題が？
廃止するというのは、サードパーティーは使えなくする。ということでしょう。
Re: (スコア:0)
表向きセキュリティ上の理由で廃止すると言っていることが問題。だったら素直に「俺たちだけが情報収集を続ける」と言え
Re: (スコア:0)
Googleとしては「文句あるなら使うな、こちらは同意をとって利用している、同意しない者は利用禁止だ」というのが主張なんですよね。
そもそもこの拡張だけじゃなく、無理してChromeを使わなくてもいいのでは。他にもプライバシーを重視したと主張するブラウザは色々あります。
Firefox……プライバシーとウェブの自由！（ご存じの通りテレメトリデータをデフォルトで収集）
Vivaldi……極めてセキュア（※ただし中国政府を除く）
Safari……iPhone使ってるなら使ってますよね？"What Happens on Your iPhone, Stays on Your iPhone"
あと何があったかな……
Re: (スコア:0)
Safariも中国にはぶっこ抜かれてるからなー、ジョブズならアクセス権を引き渡さなかっただろうに・・・
Re: (スコア:0)
> Vivaldi……極めてセキュア（※ただし中国政府を除く）
Vivaldi って中国がらみでなにかありましたっけ?
Re: (スコア:0)
まだ廃止してないのだし、適当なのがないもの
そもそも (スコア:0)
パスワードを記憶するときに、使い回しをさせないようにしたらどうなのだろうか。
Re: (スコア:0)
顧客満足度の低下に繋がります
却下ですね
Re: (スコア:0)
顧客満足度低下につながる改悪は普通にやってるChromeが？警告の一つも出せないの？
解説を求む (スコア:0)
タレコミ主の
1.ハッシュをユーザー側の暗号鍵で暗号化したものを送信
2.暗号文をGoogleの暗号鍵でさらに暗号化した暗号文を返信
3.この暗号文をユーザー側の暗号鍵で復号すれば、Google側の暗号鍵のみで暗号化された状態となる。
という説明は正しい？１のユーザー側の暗号鍵で暗号化したものに戻るんじゃない？
Re: (スコア:0)
たぶんですけど，
1. H*U
2. H*U*G
3. H*U*G/U=H*G
H:ハッシュ．U:ユーザ鍵．G:Google鍵．*:暗号化．/:復号．
みたいな感じのことができる暗号を使ってるってことなんじゃないですかね．
Re: (スコア:0)
その場合1.で送信する意味がないし、(ハッシュ化された流出リストはGoogle側の暗号鍵で暗号化されてるので)照合できない。
詳細はよく分からないけど数学的にそういう構造を持つように設計された暗号方式なんだと思うよ。
Re:解説を求む (スコア:1)
ユーザー側ではハッシュをGoogleの暗号鍵で暗号化した一覧から照合させたい
しかしユーザーはGoogleの暗号鍵を持っていないのでその暗号化ができない
GoogleにはIDパスワードをハッシュ化した状態でも送らないようにしたい
なのでユーザー側でユーザーの鍵で暗号化してから送る。
DESやAES等の方式だと暗号化を別々の鍵で2回したあと一定の順序で2回復号化しなければいけないが
可換暗号（楕円曲線暗号はこの条件を満たす）を使うとどちらの順序でも復号化できる
1. で送信する理由はGoogleにGoogle側の暗号鍵で暗号化してもらうため