Gunosyユーザーの興味関心情報が外部サイト管理者に漏洩する仕組みと想定される悪用例

このブログの記事がGunosyに掲載されたことがきっかけで、Gunosyユーザーの本名フルネームと思われる文字列が、このブログのサーバーログに大量に記録されていることに気が付きました。Gunosyのサービスの特徴から、（非公開設定で使っているGunosyユーザーであっても）その利用者の興味関心に関する情報の一部が、外部サイトの管理者に漏れているとも考えられます。そこで今回は、その仕組みと、それを悪用するプロセスの例について考えてみたので、紹介します。 今回紹介する問題は、以前このブログで指摘し、すぐに修正された非公開アカウントの情報が漏れる問題（Gunosy経由で記事を読むとTwitterアカウントやFacebookアカウントが推測可能な情報がサイト側に提供される仕組みについて）と類似の問題です。前回の指摘で少々改善されていたものの、結局同じようなリスクが発生しているとわかりました。 ただ

[solidstatesociety]

Guno骨頂

[tsupo]

なんか最近、また referer (referrer) 漏れの話が増えてるなぁ

[blueboy]

Gunosy を使うときには Facebook のアカウント認証を使わなければいい、ということ。本名でない twitter ならば、漏れても影響は少ない。／そもそも Facebook のアカウントなんか使う方がおかしい。漏れる危険性は最初からある。

[rna]

サイトの画像を直リンで表示してるので、非公開ユーザーの閲覧がユーザー名付きでバレるという話。/はてブのサムネははてな内にキャッシュした画像表示してるから大丈夫なはず。

[taketyan]

MY ページの URL にユーザ ID とか含めるの良くないという話 / はてブも

[kurotantan]

悪用というほどの悪用はできない感じではないだろうか

[ktakeda47]

これブクマするとグノシーは何をオススメするかな？

[RabbitBit]

残念なページを残念な精度でリコメンドされ、それが相手に本名付きで表示されたら、名誉毀損もいいところ。

[sinmama4556]

悪用例がすこし無理があるけど、検証と考察、分析力がすごすぎる　この人能力高いな～

[coppieee]

はてブも個人のブックマークページから行くとリファラが飛ぶとか誰か言ってたような。まぁ、httpsにするのが一番適切な気が。

[kuronama2404]

記事の内容も興味深いんだけど、ここのブログの右ペインの「目次(ベータ)」ってのがとても便利そう。

[electromancer]

なんか最近よく聞くGunosy、色々と穴があるみたいなので使わないほうが吉かもなぁ

[pmint]

実名は本人がFacebookで公開してるものだからいいとすると、問題はクライアントがReferrerを公開する点だけかな。

[takataakira]

RT @did2memo: Gunosyユーザーの興味関心情報が外部サイト管理者に漏洩する仕組みと想定される悪用例

[skam666]

“Gunosyのサービスの特徴から、(非公開設定で使っているGunosyユーザーであっても)その利用者の興味関心に関する情報の一部が、外部サイトの管理者に漏れているとも考えられます”

[at_yasu]

「imgタグで外部サーバーの画像を直接読み込むので、リファラ経由でユーザー名が外部に提供されてしまい、非公開の中身がバレる」

[yosida95]

リファラから"ハンドル"が漏れることを嫌う非実在インターネッツユーザーの話?

[go_kuma]

最初からそういう情報をニュースサイトに提供する目的があったんじゃないか？

[hidex7777]

ユーザページのURLにアカウント名使うのなんでだろね。はてブも。

[Changeoneself_Lifehack]

こういった記事をGunosyがまた検閲するですね。わかります。

[yuki_2021]

アクセスログにGunosyのユーザ名ダダ漏れの件

[dpan]

ビチグソばっかり送り付けてくる出来損ないWebサービスのことか。大好きだよ！

[ikosin]

Gunosy もう使ってないけど、プロフィール設定からユーザー名変えられるんで、使いたい人は適当に変更しとけばいいんじゃないかな。

[stella_nf]

画像直リンクなので、非公開でも個人ページURLが画像を置いているサイトのアクセスログとして記録される問題

[longroof]

さてさて(´・ω・｀)

[hiroqli]

当たり前の話、Facebookページの管理者は「いいね！」してきた人の名前が全部わかってるわけだが、それとこの話は同じじゃね？

[riocampos2]

ハッシュ値使えよ。ユーザ対応も後手後手だし認識済みbug含んだままアプリ更新するし、社的に手抜き体質。でも便利だから使うRT @did2memo: Gunosyユーザーの興味関心情報が外部サイト管理者に漏洩する仕組みと想定される悪

[mmorita44]

個人情報漏えいはブランドイメージへの打撃がでかいから注意せんとね。てか、最初のReferer漏れに対応しているのなら、画像取得時の場合も想定できそうなものだが。

[dayafterneet]

httpsだよなぁ

[about42]

リファラは自分からは渡したくないが他人からのは見たくなる宝箱。応用できそうだな。

[yumirin0307]

フルネームか。。

[yutamoty]

facebook アカウントが特定されるのがツラそう

[kuroaka1871]

Gunosyやめようかな

[ockeghem]

前に見たようなタイトルだなと思ったら、その問題の修正もれによるリファラ経由での漏洩でしたか

[daira4000]

また１つGunosyを使わない理由が出来た

[akikan2]

これが東大クオリティー。

[kumokaji]

大学なんかもこういうのめっちゃザルでプライバシーもへったくれもなかったなあと思い出しました。