[論文レビュー] Private Information Disclosure from Web Searches. (The case of Google Web History)

Claude Castelluccia, Emiliano De Cristofaro+1 more|arXiv (Cornell University)|Mar 16, 2010

Internet Traffic Analysis and Secure E-voting参考文献 9被引用数 4

ひとこと要約

本論文は、直接的なセッション乗っ取りが行われない状況下でも、ユーザーのGoogle Web履歴（機微な検索クエリを含む）を、パーソナライズド検索提案を利用する仕組みを悪用することで再構築する『Historiographer攻撃』を提示する。攻撃は、暗号化されていないHTTPトラフィックを監視して認証クッキーを取得し、提案のパターンから過去の検索を推定することで機能する。これにより、セキュリティ対策が講じられているにもかかわらず、多くのGoogleサービスがセッション乗っ取りおよびプライバシー漏洩のリスクにさらされていることが示された。

ABSTRACT

As the amount of personal information stored at remote service providers increases, so does the danger of data theft. When connections to remote services are made in the clear and authenticated sessions are kept using HTTP cookies, data theft becomes extremely easy to achieve. In this paper, we study the architecture of the world's largest service provider, i.e., Google. First, with the exception of a few services that can only be accessed over HTTPS (e.g., Gmail), we find that many Google services are still vulnerable to simple session hijacking. Next, we present the Historiographer, a novel attack that reconstructs the web search history of Google users, i.e., Google's Web History, even though such a service is supposedly protected from session hijacking by a stricter access control policy. The Historiographer uses a reconstruction technique inferring search history from the personalized suggestions fed by the Google search engine. We validate our technique through experiments conducted over real network traffic and discuss possible countermeasures. Our attacks are general and not only specific to Google, and highlight privacy concerns of mixed architectures using both secure and insecure connections.

研究の動機と目的

• GoogleのWeb履歴サービスが関連するプライバシーリスクとセッション乗っ取りのリスクを調査すること。
• Web履歴ページへの直接アクセスがなくとも、ユーザーの完全な検索履歴を再構築する可能性を分析すること。
• 特に機微なデータを処理するGoogleサービスのセキュリティを、混合プロトコル（HTTP/HTTPS）アーキテクチャ下で評価すること。
• 再認証プロンプトが存在する状況下でも、間接的なサイドチャネル技術を通じてユーザーのセッションがプライバシー漏洩のリスクにさらされていることを実証すること。

提案手法

• Historiographerは、Googleサービスにログインしているユーザーの認証クッキーを、暗号化されていないHTTPトラフィックを監視することで取得する。
• ユーザーの過去の検索に基づいて生成されるパーソナライズド検索提案を悪用し、検索履歴の内容を推定する。
• 攻撃は、観察された提案パターンと既知のクエリ履歴を照合する再構築アルゴリズムを用いる。
• 実験は、研究機関のネットワークトレース、Torエグジットノード、AOL 2000万件の検索データセットを用いて実施され、攻撃の有効性が検証された。
• 攻撃は、提案システムが決定論的であると仮定し、繰り返しの提案シーケンスからクエリパターンを逆算可能であると想定している。
• 攻撃は非侵襲的であり、ユーザーのデータを改ざんせず、受動的傍受とパターン分析に依存する。

実験結果

リサーチクエスチョン

• RQ1 攻撃者がWeb履歴ページへの直接アクセスやセッションクッキーの乗っ取りなしで、ユーザーのGoogle Web履歴を再構築できるか？
• RQ2 暗号化されていないHTTP接続を使用する場合、Googleサービス（Web履歴を含む）はどの程度セッション乗っ取りに対して脆弱であるか？
• RQ3 実際のネットワーク環境下で、パーソナライズド提案データから検索履歴を再構築する際、Historiographer攻撃の有効性はどの程度か？
• RQ4 暗号化されていないネットワーク経由でGoogleサービスにアクセスするユーザーの数を考慮すると、潜在的な漏洩範囲はどの程度か？
• RQ5 HTTPとHTTPSが混在するアーキテクチャの使用は、機微な検索履歴を持つユーザーのプライバシーリスクをどのように悪化させるか？

主な発見

• Historiographerは、暗号化されていないHTTPトラフィックとパーソナライズド提案データのみを用いて、ユーザーの検索履歴の大部分を成功裏に再構築した。
• 監視対象の約1/3のユーザーがGoogleアカウントにログインしており、攻撃の標的としての可能性を有していた。
• Web履歴を含む多くのGoogleサービスが、HTTP経由での認証クッキーの送信により、セッション乗っ取りに対して依然として脆弱である。
• 攻撃は極めて効果的である：傍受開始後数秒のうちに、複数のデバイスおよびネットワークから数か月分の検索履歴を再構築できる。
• Googleは、Web履歴からの検索提案の一時停止と、Web履歴ページへのHTTPSのみアクセスの有効化を通じて、この攻撃への対応を実施した。
• 再認証プロンプトが存在する状況下でも、提案システムのサイドチャネル分析を通じて、セッションベースのプライバシー漏洩が依然として可能であることが、攻撃によって示された。