ウェブブラウザのパスワードマネージャーにユーザー情報を盗み出される脆弱性

ウェブブラウザにはユーザーの利便性を考慮して、ウェブサイトやウェブサービスのログインIDとパスワードを記録する機能が搭載されています。しかし、このパスワードマネージャーに、第三者のスクリプトによって保存したユーザー情報が盗み出されてしまう脆弱性が存在していることがわかりました。 No boundaries for user identities: Web trackers exploit browser login managers https://freedom-to-tinker.com/2017/12/27/no-boundaries-for-user-identities-web-trackers-exploit-browser-login-managers/ Flaw In Major Browsers Allows 3rd-Party Scripts to Steal Your

[ockeghem]

これ、パスワードマネージャーの脆弱性というより、広告業者の犯罪行為というべきでは? 広告用JavaScriptは広告掲載のサイトでは強い権限を持つわけで

[fashi]

これ前にも見た気がするけど対策出来てないってことなんかな。まあ「同じウェブサイト(ドメイン)上で、第三者による追跡スクリプトが仕込まれ」てる時点で終わってるか

[lbtmplz]

仕込まれている時点でなんでも出来るのでは

[pmakino]

「同じウェブサイト(ドメイン)上で、第三者による追跡スクリプトが仕込まれた別のページを開くと」が条件満たすの厳しいんじゃないかと一瞬思ったものの、広告事業者なら簡単に満たせるわけか。アカン

[azzr]

ブラウザというよりサイトの脆弱性。攻撃者がサイトと同じオリジンでスクリプトを実行できるなら、パスワードを含む任意の情報は漏洩しうる。

[rryu]

広告等の計測タグを埋め込むと、それがユーザーの識別子を得るためにオートコンプリートを悪用してメールアドレス等を抜いてくるという話。こういうものの信頼性はどう確保すればいいのだろう。

[bouzuya]

この前に流れてきてたやつか。そも同一ドメイン扱いで動くならやりたい放題じゃないのか。

[letsspeak]

復元可能な鍵を端末に保存してはいけない

[suika3417]

広告にスプリクト仕込むのいい加減にしろ

[kibitaki]

広告スクリプトは防ぎにくいのだが、AdBlockerは壁になる。そして広告業者はこぞってGTMを使えと言ってくる。でもこれをサイトの脆弱性とか言うのはトンチキ。

[mas-higa]

パスワードの自動入力は不安を感じるのでやってなかった。

[gabill]

もう今のWeb広告の仕組み自体が巨大なセキュリティホールなんじゃ。

[raitu]

同じドメイン上で、第三者による追跡スクリプトが仕込まれた別のページを開くとブラウザ保存パスワードがぬかれるという話。広告業者が閲覧者ID抜くためにやってる疑惑が掛かってる

[rinsuki]

オッと思ったがそもそも悪意のあるコードが含まれるかもしれないJavaScriptが同originで動いてる時点で...

[takc923]

元記事(hackernewsの方)読んだけど、XSSでid/passwordが窃取されるのは何年も前から知られてて、今回わかったのはユーザトラッキング用スクリプトがid(email)をハッシュ化して取得して、ユーザの追跡してるってことだった。

[arajin]

“簡単な対策としては、まずはブラウザのパスワードマネージャーに信頼できないサイトのログイン情報を保存しないことです。”

[itochan]

タイトルが変。

[lli]

対策難しいな

[fne8]

こわいわ〜

[homarara]

id:osakana110　そこまでされんでも、XSSで可能な攻撃だね。中小企業のお手製ショッピングサイトなんかで、掲示板的な「第三者が書いた内容を表示する機能」を持ってるやつなら危ないかもしれん。

[osakana110]

要は、観覧先のサイト(同一ドメイン内)がクラッキングされてるわけでしょ？ やりたい放題じゃん

[karkwind]

新年早々、疲れるニュースが満載だなぁorz

[diveintounlimit]

なるほど考えたもんだね

[ya--mada]

不可視のフォームについては何年か前にも指摘が有ったけどな。ソース読めってか。

[igrep]

うーん、KeePassHttp使ってても回避は難しそう。。。

[nminoru]

こういうテクニックが発明されるのを見る度に、人間の想像力に限界なんてないという気にさせられる。