パスワードを忘れた? アカウント作成
13121088 story
プライバシ

Webブラウザの自動入力機能を悪用して意図しない個人情報を送信させるデモ 16

ストーリー by hylom
シンプルな手口 部門より

Webブラウザの自動入力機能を悪用して個人情報を盗む手法が公表された。実証コードも公開されているBleeping ComputerGIGAZINESlashdot)。

Webブラウザの自動入力機能は、住所やクレジットカード情報などをあらかじめWebブラウザに登録しておくことで、Webページ上のフォームに自動的にそれらを入力するというもの。今回公表された実証コードでは、画面上に見えないようにフォームを配置し、さらにJavaScriptを使ってフォームに値が入力されたらそれらを自動的に処理するようなコードを組み合わせるというもの。

公開されているデモでは「Name」および「Email」入力フォームのみが表示されており、送信されるのは名前およびメールアドレスだけのように見えるが、電話番号や住所などを入力するフォームも見えないように配置されており、Webブラウザにこれらの情報が登録されており、さらに自動入力機能を利用した場合はこれらの情報も自動的に入力されて送信されてしまう。

ただし、Safariでは自動入力の際に入力するデータをユーザーに確認する仕組みになっており、また、Firefoxではユーザーが自動入力するフォームを指定する必要がある。そのため、これらブラウザでは悪用は難しいようだ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • see also (スコア:2, 参考になる)

    by Anonymous Coward on 2017年01月12日 17時36分 (#3142966)

    暮らしに役立つITコラム ChromeやSafariの自動入力機能が、なぜ「悪いデザイン」なのか
    https://gist.github.com/mala/a53e3f8a0c793a5c7bef2215dd951879 [github.com]

    • by Anonymous Coward

      以前、どこのサイトだったか忘れたが、クレジットカード情報入力の欄が
      autocomplete="off" になっておらず、その後全然関係ないサイトで
      クレジットカードじゃない情報を入力しようとしたときにクレジットカード番号が
      表示されたことがあった。

      クレジットカード会社は、Web サイトの造りについても、一定の要件を
      満たすように指導すべきじゃないのかと思うんだけど、やってないの?

      • クレジットカード情報入力の欄が autocomplete="off" になっておらず、その後全然関係ないサイトでクレジットカードじゃない情報を入力しようとしたときにクレジットカード番号が表示されたことがあった。

        クレジットカード番号の入力欄に autocomplete="off" が指定されていないサイトも見かけますが、最近のブラウザでは autocomplete="off" があっても効かないことがあります。

        フォームのオートコンプリートを無効にするには - Web セキュリティ | MDN [mozilla.org] には、

        autocomplete 属性に off が設定されている場合でも、ブラウザはオートコンプリートを行うことがあります。この予想外の挙動に開発者は戸惑うかもしれません。オートコンプリートを完全に無効にするには、その属性値に 任意の文字列を代入 するというトリックを用います。

        と書かれています。

        WHATWG の HTML Living Standard [whatwg.org] によると、autocomplete には "postal-code" などと自動的に代入される文字列の種別を指定するようなので、そこにダミーの値を入れることで比較的新しいブラウザだと、自動代入が無効になるのでしょう。

        逆に古いブラウザだと、"on" や "off" 以外は無効と判断されて無視されるかもしれないので、form要素の方には autocomplete="off" を指定しておいて、input要素の方に autocomplete="dummy-jA4f-FJvG-DufF-rGmA" などのダミーのランダムな値を指定しておくと良いかもしれません。他のサイトで同じ値が設定されるとブラウザによってはそっちに自動フィルされるかもしれないので(未確認)、毎回違う値を自動生成した方が安全かも。

        <form method="post" action="/form" autocomplete="off">
          <div>
            <label for="cc">クレジットカード番号:</label>
            <input type="text" id="cc" name="cc" autocomplete="dummy-jA4f-FJvG-DufF-rGmA">
          </div>
        </form>

        みたいな感じだと、自動フィルされにくいと思います(dummy-jA4f-FJvG-DufF-rGmA の部分は毎回変わるランダムな値)。

        クレジットカード会社は、Web サイトの造りについても、一定の要件を満たすように指導すべきじゃないのかと思うんだけど、やってないの?

        autocomplete属性は W3C のWeb標準に無いし(まぁW3C自体がオワコンですが)、WHATWG のWeb標準仕様は更新が頻繁で追従が困難なので、オートフィルについてはWebサイト製作者がどうにかする問題ではなく、ブラウザの製作者かその利用者がどうにかするべきだと思います。

        ちなみに、WHATWG のサンプル [whatwg.org] には、

        <p><label>Credit card number: <input type=text inputmode=numeric autocomplete=cc-number></label>
        <p><label>Expiry Date: <input type=month autocomplete=cc-exp></label>

        とあり、ブラウザのオートフィル用にクレジットカード番号であることを明示的に指定してあげているようです。現実にこれがどう扱われるかは、ブラウザの実装次第ですね。

        親コメント
  • by Anonymous Coward on 2017年01月12日 18時49分 (#3143018)

    他はそういう悪意ある手法に対して既に対抗できる設計になってるが、chromeはその辺考慮が浅くてザルだったって事じゃん。
    Googleしっかりしろよ。

    • by Anonymous Coward

      むしろGoogleが個人情報を収集する目的で穴を開けてたのかと思った

      • by Anonymous Coward

        ブラウザ握ってんだから誰でも覗ける穴なんて作らなくてもやろうと思えば取り放題でしょうに。

      • by Anonymous Coward

        部門名にある通り結構シンプルな手口に見える。
        これをChromeの開発者が予想できなかったとはちょっと思えないくらいに。

        あの技術力のGoogleのだから、Chromeは比較的安全なブラウザと思い込んでる所があるが、認識を改めたほうがいいのかも。

    • by Anonymous Coward

      標準規格にある機能ならともかく、独自機能ですからねえ。IEには該当機能がないので問題にならない。
      いつものIEと立場が逆転しましたね。

    • Chromeの独自機能が引き起こした製品固有の脆弱性なんだから、そう書くべきだ。
      「Webブラウザの自動入力機能を悪用して」って、なんだこのタイトル。
      これがMicrosoft製品なら必ずタイトルにつけて煽るくせに。

      • by Anonymous Coward

        アンチAppleがよく出現するのはお決まりだけど、
        最近何でもかんでもMicrosoftに絡めて炎上させようとしてるこの人はなんなんだろう。
        MS擁護したいのか着火したいのか。

    • by Anonymous Coward

      Chromeに都合の悪いことを書くときは名前を出さないで「Webブラウザの」とかぼかす不思議

  • by Anonymous Coward on 2017年01月13日 7時48分 (#3143283)

    最近はそういう余計な機能をいちいち殺してからでなきゃ
    アプリケーションを使い始められなくて不便でしょうがない。

    ...とおもったら、わざわざブラウザにカード番号を登録するのかよ。
    そんなの使う奴が悪いわ。

    • by Anonymous Coward

      あからじめいう手も勝手に覚えるんやで

typodupeerror

普通のやつらの下を行け -- バッドノウハウ専門家

読み込み中...