ソーシャルウェブサービスにおける新たなプライバシー脅威「Silhouette」を発見

（ニュースリリース） 2018年7月18日 ソーシャルウェブサービスにおける新たなプライバシー脅威「Silhouette」を発見 ～Twitter、Microsoft、Mozillaらに働きかけ、世界の主要サービス・ブラウザのセキュリティ機構を改善～ 日本電信電話株式会社（東京都千代田区、代表取締役社長：澤田純、以下「NTT」）は、ソーシャルウェブサービス（※1、以下「SWS」）に対する新たなプライバシー脅威「Silhouette（シルエット）」を発見し、そのリスクを評価する手法を開発しました。新たに発見したプライバシー脅威は、SWSのユーザが悪意のある第三者のウェブサイトに訪問した際に、当該ユーザが所有するSWSのアカウント名が第三者のウェブサイトから特定されうるものであり、プライバシー情報の濫用やオンライン詐欺などのさまざまなサイバー攻撃に悪用される可能性があります。脅威「Silhou

[nrtn]

サイドチャネル攻撃全てに対応するのは難しいけど、True/Falseのような２つの状態を返す系はレスポンス時間をなるべく同値化するなどの考慮しなければいけない時代がきているのかもね。巷で話題のCPUの脆弱性も然り。

[rickt]

孤独なSilhouette動き出せば　それは紛れもなくヤツさ

[Mash]

それは紛れもなくやつさ

[migrant777]

いや待て、この孤独なSilhuetteは・・・？

[paravola]

特定補助アカウントを複数用意し、計画的にブロックすることで、さまざまな組み合わせパターンを構築／スクリプトが設置されたウェブサイトに訪問したユーザに、特定補助アカウントへの通信を強制的に送信させる

[umiusi45]

つまり、どゆこと？

[rgfx]

やはりソーシャルウィジェットは悪。ブロックするに限る。

[skypenguins]

なんかMeltdownと言いサイドチャネル攻撃が流行ってるのかね

[ya--mada]

サイト訪問者の垢を特定したとして、やれるアクションは、フィッシング用のリスト作成とか…。o365とかawsがエンプラで使われてるのでOSINTか。/なるほど、大量垢持ち化。

[hevohevo]

かなり迂遠な手法な気がしないでもないけど、この手法を使うと、サービスAのユーザーXXXとサービスBのユーザーYYYが同一人物みたいな特定ができちゃうのかな。

[iwanofsky]

ふんふん

[miki_bene]

面白い

[fashi]

既に知られている複数の手法に新しく名前をつけましたって感じ

[side_tana]

フーム

[nacika_inscatolare]

SameSite使いたかっただけのような

[isrc]

補助アカウントを複数用意し、同一サービス上のユーザらを計画的にブロック／特定補助アカウントのページへの通信を強制的に送信／閲覧可能時と閲覧不可能時では通信の応答時間には統計的な差異が発生

[sho]

面白い手法だけど「任意の誰か」を特定する方法ではなく「事前にあたりを付けた誰か(複数)」を特定できるという話かな。