Brave、CNAMEクローキングブロック機能追加へ

2020年10月31日 13:32

Braveは10月27日、Brave 1.17の広告・トラッカーブロック機能「Brave Shields」にCNAMEクローキングのブロック機能を追加すると発表した(Braveのブログ記事、 The Registerの記事)。

CNAMEクローキングはドメインにエイリアスでアクセスできるようにするCNAME DNSレコードを悪用し、サードパーティードメインのトラッカーをファーストパーティーのサブドメインから送られたように見せかける手法だ。この手法は以前から用いられていたが、使用するトラッカー企業が2019年後半から急増したという。

広告ブロック拡張機能はCNAME情報にアクセスできないため、ランダムに生成したサブドメイン名がCNAMEレコードに指定されるとリストベースのブロッキングでは対応が困難になる。Firefox版のuBlock Originはbrowser.dns.APIを用いてCNAMEクローキングの検出とブロックを可能にしているが、他のブラウザーではこのAPIを使用できない。

11月17日リリース予定のBrave 1.17では、Brave Shieldsがすべてのネットワークリクエストをチェックし、CNAMEでファーストパーティーのサブドメインが指定されていても、正式なドメイン名がトラッカーのドメインであればブロックする。トラッカーのスクリプトが他のサードパーティートラッカーをリクエストする前にブロックすることで、プライバシーを強化するとともにネットワーク帯域やCPU使用率を低減できるとのことだ。

チャット/メッセージングアプリのリンクプレビュー機能に潜む問題

スラド

著者: nagazou

2020年10月30日 17:32

headless 曰く、

チャット/メッセージングアプリのリンクプレビュー機能の問題点について、Talal Haj Bakry氏とTommy Mysk氏が18本のアプリを対象とした調査結果を公表している(Myskの記事、 Ars Technicaの記事、 9to5Macの記事、 Mac Rumorsの記事)。

リンクプレビュー生成方法は、送信側で生成・受信側で生成・サーバー上で生成の3種類。最も安全なのはリンクを生成しないことで、テストした中ではSignal(プレビュー無効時)/Threema/TikTok/WeChatが該当する。

比較的安全なのは送信側での生成だ。送信者がリンク先にアクセスすることは避けられないが、受信者はクリックしない限りリンク先ページにアクセスすることはない。テストした中ではiMessage/Signal(プレビュー有効時)/Viber/WhatsAppが該当する。ただし、Viberではプレビュー生成時のダウンロードサイズに制限がなく、バッテリーやデータを大量に消費するなどの問題が発生する可能性もある。

受信側での生成はクリックしなくてもリンク先へのアクセスが発生するため、攻撃者が悪用する可能性もある。テストした中では2本がこの方法だが、情報は非公表になっている。また、2本とも修正前にはデータサイズの制限がなく、Viberと同様の問題が受信側で発生していたとのこと。

サーバーで生成するのはDiscord/Facebook Messenger/Hangouts/Instagram/LINE/LinkedIn/Slack/Twitter/Zoomと非公表1本。この方法では非公開情報をサーバーが取得する可能性がある。中でもFacebook Messenger(画像と動画のみ)とInstagramは取得するデータサイズに制限がない。また、InstagramとLinkedInではサーバー上で任意のJavaScriptコードを実行可能だったとのこと。保存期間についてはSlackのみ30分程度と回答している。

LINEの場合、メッセージをエンドツーエンドで暗号化しているが、リンクはサーバーへ送られる。また、送受信者のIPアドレスをリンク先に送信していたという。LINEは報告を受けてIPアドレスの送信をやめたが、サーバーへのリンク送信は許容範囲内だと回答したそうだ。

ロシア政府、TLS 1.3などの暗号化技術を使用禁止にする改正法案

スラド

著者: nagazou

2020年9月28日 13:00

中国でも似たような話があったが、ロシア政府は、監視や検閲機能を妨げる危険性のあるインターネットプロトコルの使用を禁止できるよう法改正を進めているそうだ。流出したPDFファイルから判明したという。禁止対象となるインターネット・プロトコルはTLS 1.3、DOH、DoT、そしてESNIとされている（ZDNet、流出PDF、GIGAZINE）。

ロシアは中国のようなファイアウォールは採用していないものの、SORMと呼ばれる電話会社のデータセンターを法執行機関が監視できるシステムを用意している。新たな法改正案によれば、暗号化されたプロトコルを使用してユーザーIDなどを分からなくする仕様を採用したWebサイトに関しては、警告の1日後に利用が禁止されるとしている。改正案は10月5日までパブリックコメントを受け付けているとのことだが、政治的に改正法案が通るのは確実とみられている。

すべて読む | YROセクション | 検閲 | プライバシ |

中国の江蘇省蘇州市で導入された文明コードアプリ、3日で運用停止へ

スラド

著者: nagazou

2020年9月9日 14:05

中国の江蘇省蘇州市で今月3日、市民の生活態度などを点数化する「文明コード」を新たに導入したが、市民の強い反発からたったの3日で運用停止する羽目になったようだ。読売新聞によると、このアプリは交通ルールの順守やボランティア参加といった項目から点数化するとされている（読売新聞、Record China）。

Record Chinaによれば、この蘇州市が導入した制度は文明コードと呼ばれており、

「1人1つのコードを有して文明ポイントを構築し、文明を市民の通行証とする。文明ポイントの高い市民は、仕事や生活、就業、学習、娯楽で優先的に便宜を図ってもらうことができる」

というものであるらしい。もちろん中国で使われているほかの信用スコアと同様に懲罰にも利用できるものであるようだ。中国では新型コロナウイルスに乗じて、個人の健康状態を識別する健康コードという制度も導入されている。健康コードが導入されて間もない状況で文明コードも導入されたのが、現地での反発をまねいた一因であるようだ（Forbes）。

katu256 曰く、

中国江蘇省蘇州市で、市民の生活態度などを点数管理するアプリを公開したが、反発が大きく運用開始から3日で運用を停止した様だ。
このアプリは交通ルール順守と、ボランティア参加の2項目から利用者の生活態度を数値化するもので、点数が高いと就職に有利などと説明されていた。
中国政府は2014年から個人の信用情報を一括管理する目的で、社会信用システムの構築を進めており、アリババグループ傘下の芝麻信用が
2015年に導入した信用スコアは、金融や不動産などの分野でサービスを拡大している。

情報元へのリンク

Android 11アプリのサードパーティーカメラアプリ呼出し制限は位置情報への無断アクセスを防ぐため

スラド

著者: headless

2020年8月23日 09:53

Android 11をターゲットにしたアプリで「android.media.action.IMAGE_CAPTURE」などのインテントでカメラアプリを呼び出す際、プリインストールのシステムカメラアプリしか選択できないようになっているが、これはアプリがユーザーの許可なく位置情報を取得しないようにするための変更だという(Android Developersのドキュメント、 The Vergeの記事、 Android Policeの記事、 SlashGearの記事)。

サードパーティーのカメラアプリ呼出し制限はAndroid 11をターゲットにしたアプリの動作の変更点として数か月前からAndroid Developersのドキュメントに記載(Internet Archive 5月31日のスナップショット)されているが、その理由については説明されていなかった。8月に入ってこの動作がGoogleのIssue Tracker(要ログイン)でバグとして報告され、Googleはユーザーのプライバシーやセキュリティを守るための意図した動作だと回答。サードパーティーのカメラを呼び出す場合はパッケージ名などを明示的に指定する必要があるとも説明しているが、ここでも具体的な理由を示さなかったため、独占的だなどと批判を受けることになる。

その後、Android 11の変更点のカメラアプリ呼出し制限の項目は大幅に追記され、呼び出し元アプリの位置情報アクセス許可に応じてEXIFの位置情報メタデータが正しく処理されることを確実にするための変更だと明記された(日本語版は未更新)。変更によりサードパーティーのカメラアプリ使用が制限されることはなく、既定のアプリに設定することも可能とのこと。なお、OEMメーカーの多くは独自のカメラアプリをプリインストールしているが、こういったカメラアプリでEXIFメタデータが正しく処理されるかどうかについては触れられていない。

Gmailアカウントから送られたZoomの招待メールにGoogle Meetのリンクが追加されていたとの報告

スラド

著者: nagazou

2020年8月7日 16:00

headless 曰く、

Zoomのオンラインミーティング招待メールで、送信者の知らない間にGoogle Meetのリンクが追加されていたとの報告が出ている(MSPoweruserの記事、 Neowinの記事)。

MSPoweruserの記事によれば、この招待メールはWindows 10の「メール」アプリでGoogleアカウントから送信されたものだという。メールには日時と場所(URL)に続いて参加方法に関する情報が記載されているのだが、参加方法の一つとしてGoogle MeetのURLが記載されている。事実関係は不明だが、このような情報は送信時に記載されていなかったとのことで、Googleが追加したとみられている。

個人情報保護委員会が官報公表破産者情報の掲載サイトに停止命令、マイニングにも言及

スラド

著者: nagazou

2020年8月6日 06:01

個人情報保護委員会は7月29日、官報に掲載された破産者の情報を公開していた二つの事業者に対し、ウェブサイトを直ちに停止するよう命じる行政処分を行った。同委員会が命令を出したのはこれが初めてだという（個人情報保護委員会[PDF]、Security NEXT、日経新聞）。

同委員会は今回、ウェブサイト上のマイニングツールについても触れている。いずれのサイトも閲覧しないことを求めていることから、この二つの事業者の中にはマイニングツールを仕込んだものが含まれていた可能性がある。ただし、マイニング行為そのものは違法性が裁判で争われている段階であることから、個人情報保護委員会が、あえてマイニングに言及したことは、マイニングに問題があると受け止められないとする意見もあるようだ。

なお今回の停止命令は、当該2事業者の所在をいずれも確認できておらず、公示送達の形で行われている。これら二つの事業者は、官報に掲載された破産者の個人情報を、利用目的の通知や第三者への提供の同意を行わないままデータベース化し、ウェブサイトに掲載していたとされる。対応期限となる8月27日までに必要な手続きを取るなどの行動をしない場合は、刑事告発を行うとしている。

すべて読む | YROセクション | YRO | プライバシ |

元警察官ストーカー男が日本郵政の転居サービス「e転居」を悪用。逮捕される

スラド

著者: nagazou

2020年7月21日 17:01

ストーカーが引っ越し時に使用する各種サービスなどを悪用、ストーカーの対象となった女性の郵便物を盗んだり、クレジットカードや銀行口座を使用不能にするなどの行為をしていたことが分かった（FNN、MSNニュース、piyokangoの備忘録）。

犯人は元警察官で36歳の男。出会い系サイトで知り合った20代の女性の郵便物を手に入れるため、日本郵便の提供している転居手続きサイト「e転居」を悪用。女性宛の郵便物を自分の実家の住所に転送していた。男は7月15日に私電磁的記録不正作出・同供用の疑いで逮捕されている。

「e転居」は引っ越しの時に荷物の転送手続きに使用できるサービス。電話確認のみで申請が可能となっており、本人確認の証明書を提示する必要は無かったという。この男はe転居だけでなく、女性に対して複数のサービスで紛失や解約など申請や手続きを行っていた。まとめ記事によると、被害者女性はクレジットカード、携帯電話、水道、電気、銀行口座、NHK（衛星放送）などのサービスが使用不能になっていたとしている。

Apple、Macノートブックにカメラカバーを装着したままディスプレイを閉じないよう求める

スラド

著者: nagazou

2020年7月13日 19:01

headless 曰く、

Appleが最近公開したサポートドキュメントで、MacBook/MacBook Air/MacBook Proのカメラにカバーを装着した状態でディスプレイを閉じないよう求めている(HT211148、 Mac Rumorsの記事、 Softpediaの記事、 BetaNewsの記事)。

Macノートブックのディスプレイとキーボードの間にはごくわずかな隙間しかないため、カメラカバーを装着してディスプレイを閉じるとディスプレイが傷つく可能性があるとのこと。カメラカバーの使用自体を禁じてはいないが、環境光センサーにも干渉するため、できれば使用してほしくないようだ。カメラカバーを使用する代わりにインジケーターランプでカメラの作動状態を確認することや、アプリに対するカメラの使用許可を確認することを推奨している。

職場などでカメラカバー装着が義務付けられている場合は、通常のコピー用紙1枚の厚み(0.1mm)またはそれよりも薄いカメラカバーを使用すること、接着剤の跡が残るカメラカバーを避けること、カメラカバーの厚みが0.1mmを超える場合はディスプレイを閉じる前に取り外すこと、が推奨されている。

元FBI局長のジェームズ・コミー氏など、プライバシーの観点からPCのカメラを物理的にふさぐ人も多い。シャッター式やステッカー式などさまざまなカメラカバー製品も発売されているが、Macノートブックに使用する場合は貼り直し可能なステッカー式を選ぶか、付箋紙やマスキングテープなどを使用する方がよさそうだ。

DuckDuckGoのWebブラウザー、アクセス先ドメインの情報を収集しているとの批判を受けて修正

スラド

著者: nagazou

2020年7月7日 17:02

headless 曰く、

DuckDuckGoが同社のWebブラウザー「DuckDuckGo Privacy Browser」でアクセス先ドメインの情報を収集しているとの批判を受け、修正版を公開した(HackReadの記事、 Hacker Newsのスレッド)。

この問題はfavicon表示に関するものだ。DuckDuckGoでは各Webサイトからfaviconを取得して表示するには複雑な処理が伴うとして、同社の検索エンジンおよびアプリに独自サービスからfaviconを提供していた。しかし、検索結果に表示するfaviconは問題ないとしても、直接URLを入力してアクセスした場合にもDuckDuckGoへリクエストが送られる点が批判を受けることになる。

実際のところ、この問題は昨年7月にGitHubのAndroid版 DuckDuckGo Privacy Browserリポジトリで指摘されたまま放置されていたのだが、最近になって再燃していた。DuckDuckGo CTOのCaine Tighe氏(nilnilnil)はリクエストが匿名化されていると説明しつつもユーザーの懸念は理解できるとして、アプリではfaviconを各サイトから直接取得するように修正した(Android / iOS)と説明。Android版(バージョン5.58.1)・iOS版(バージョン7.47.2)ともに修正版が公開されている。

新Microsoft Edge、ユーザーの確認前に他のブラウザからデータをインポートする挙動

スラド

著者: nagazou

2020年7月2日 07:16

headless 曰く、

新規インストール時に新Microsoft Edgeが、ChromeやFirefoxからデータを「一旦」インポートする挙動を見せるそうだ(Windows Centralの記事、 9to5Googleの記事、窓の杜)。

「一旦」と書いたのは、起動時に最初に表示される設定で「インポートしないで続行」オプションを選択した場合、インポートされたデータは破棄されるためだ。つまり一度は必ずデータをインポートし、ユーザーが拒否した場合のみ削除するという仕組みとなっている。

この点に関して、Windows CentralがMicrosoftに問い合わせたところ、回答があったという。それによれば「Microsoft Edgeはセットアップ中にデータをインポートする機会を用意している。インポートしたデータを維持するか、破棄するかは初回起動時に選べる」という回答だった。この挙動自体は以前からあるものだったが、Microsoft Edgeの自動インストール以降はより目立つようになったようだ。

Microsoftも新Microsoft Edgeの初回起動時には既にデータがインポートされていることを認めていることになる。注意点として初回起動時のセットアップ完了前にタスクマネージャーなどで新Microsoft Edgeを終了してしまった場合、インポート済みのデータが完全に削除されない可能性がある。このためセットアッププロセスは確実に完了させることを推奨するとのこと。

米インディアナ州最高裁判所、スマートフォンのロック解除強制は不利な証言の強制にあたると判断

スラド

著者: headless

2020年6月28日 11:44

米インディアナ州最高裁判所は23日、スマートフォンのロック解除に使用するパスワード開示を強制することは合衆国憲法修正第5条が禁ずる不利な証言の強制にあたり、州政府側が犯罪の証拠となるファイルの存在を具体的に知らない限り除外の対象にもならないとの判断を示した(裁判所文書、 Deeplinks Blogの記事、 9to5Macの記事)。

この事件は被告の女性がD.S.という人物から性的暴行の被害にあったと届け出たところから始まる。女性は所有するiPhone 7 PlusにD.S.との通話記録などが含まれるとして捜査機関に提出し、捜査機関はデータをダウンロード後に返却した。ところがデータを調査した結果、女性がD.S.に対してストーカー行為をしていたことが判明し、女性の方が逮捕・起訴されることになった。

女性のiPhone 7 Plusにストーカー行為の証拠が含まれると考えた捜査機関は令状を取得して差し押さえたのち、女性が拒否したパスワード開示を命ずる2件目の令状を取得した。それでも女性は修正第5条に反すると主張してパスワード開示を拒否し、州地方裁判所が法廷侮辱罪にあたるとの判断を示したため、女性が控訴した。

控訴受理前に司法取引が成立し、女性がストーキング罪1件を認める代わり、州側は他18件の起訴事実を未確定のまま取り下げることになったが、女性は引き続き法廷侮辱罪で罰せられる可能性があった。控訴審で判事の見解は割れたものの、法廷侮辱罪を取り消す判断が示された。州最高裁は控訴審判決を支持したが、判事の見解は3対2と割れており、長い意見書が付けられている。

今どきの探偵はスパイウェアやキーロガーを駆使する

スラド

著者: nagazou

2020年6月23日 14:07

Twitterである探偵会社の事例集がバズっているようだ。調査手法としてアナログな取材を偽装する方法だけでなく、スパイウェアを仕込んだメールを送りつけたりもするという。またハードウェアタイプのキーロガーを子供のPCに取り付け、ログイン情報やパスワードの入手などもしている。

また業務をサボっていないかを調べるために、タイプ数カウントツールの導入を提案したりとかなりハイテクな感じとなっている（Togetter、相沢京子調査室）。

米連邦地裁、逮捕時に押収したスマートフォンのロック画面を捜査機関が後で確認するには令状が必要と判断

スラド

著者: headless

2020年5月24日 18:11

米ワシントン西部地区連邦地裁のJohn C. Coughenour判事は18日、逮捕時に押収したスマートフォンのロック画面を捜査機関が後で見るには令状が必要になるとの判断を示した(裁判所文書: PDF、 Ars Technicaの記事、 Mac Rumorsの記事)。

問題のスマートフォンは強盗などの容疑で2019年5月に逮捕され、その後起訴された被告が逮捕時に所持していたものだ。逮捕時の記録には(ロック)画面に「Streezy」という名前が表示されていたと記載されており、2020年2月には連邦捜査局(FBI)が押収物保管庫からスマートフォンを取り出して電源を入れ、「Streezy」と表示されたロック画面の写真を撮影している。被告はこれら2回の確認作業で得られた証拠をすべて除外するよう申し立てていた。

GPS付きの腕時計型スマート体温計着用を求められる中国・北京市の中高生

スラド

著者: hylom

2020年5月14日 12:15

Anonymous Coward曰く、

中国・北京市で、新型コロナウイルス対策として中高生に対し自動的に体温を測定するGPS付き腕時計型デバイスが配布されているそうだ（朝鮮日報）。

このデバイスは1日2回の体温測定機能とGPSによる現在地報告機能が搭載されており、生徒らには24時間の着用を求めているという。

異常な体温を検出した場合に自動的に学校教師へと報告する機能もあり、体温検査の手間が省ける一方で、生徒たちのプライバシーを侵害するという指摘も出ているようだ。

すべて読む | YROセクション | 医療 | 教育 | 中国 | プライバシ |

EFF曰く、AppleとGoogleによるSARS-CoV-2感染者との接触検出技術にはプライバシー保護とセキュリティ対策のさらなる強化が必要

スラド

著者: headless

2020年5月5日 19:21

AppleとGoogleが協力して開発を進める新型コロナウイルス(SARS-CoV-2)感染者との接触検出技術について、さらなるプライバシー保護およびセキュリティ対策が必要だとEFFが主張している(Deeplinks Blogの記事、 Computingの記事)。

この接触検出技術を使用するスマートフォンは毎日生成される秘密鍵を用いてRolling Proximity Identifier(RPID)と呼ばれる近接識別子を生成し、少なくとも5分ごとにRPIDを含むPingを送信する。RPIDは10～20分ごとに更新され、端末で生成した秘密鍵と他の端末から受信したRPIDは端末内にのみ2週間保存されるため、プライバシーリスクは最低限となる。

ただし、感染が判明したユーザーが保健当局に情報の共有を許可すると、秘密鍵が「diagnosis key (診断鍵)」として公開されることになる。他のユーザーはこの診断鍵を用いて接触の有無を確認できるのだが、悪意をもった人物が大量にRPIDを収集すれば、顔認識などの技術と組み合わせて感染者データベースを作ったり、感染者の行動範囲を地図上に表示したりといったことが可能になってしまう。そのため、EFFでは緩和策として秘密鍵の更新頻度を高くすることを提案している。

捜査当局が情報を利用してユーザー同士を関連付けることも可能となるが、ユーザーが必要に応じてアプリを無効化したり、特定期間のデータを削除したりできるようにすることで緩和できる。これではアプリの実効性が低下しそうだが、EFFは別の方法として強い暗号とパスワードによる保護も提案している。このほか、RPIDを生成したデバイスから送信されたかどうかを確認する手段がないため、受信したRPIDを再送信して精度を低下させるといった攻撃も考えられるとのこと。

この接触検出技術の第1段階はAPI提供で、AppleとGoogleは保健当局によるアプリ開発を意図したものだと説明している。ただし保健当局の多くは自前でのアプリ開発ができないため、開発を外部に発注することになる。そのため、外部の開発者がアプリを悪用しないように注意を払う必要もある。第2段階ではAppleとGoogleがOSに接触検出技術を組み込むことになるが、ユーザーの明示的な許可を確実に得る仕組みが必要だ。また、両社は感染拡大の危機的状況が終われば接触検出技術を削除すると述べているが、削除計画も明確にする必要があるとのことだ。

なお、AppleとGoogleは4日、それぞれサンプルコードを公開した。

リーディングビュー