[论文解读] Private Information Disclosure from Web Searches. (The case of Google Web History)

Claude Castelluccia, Emiliano De Cristofaro+1 more|arXiv (Cornell University)|Mar 16, 2010

Internet Traffic Analysis and Secure E-voting参考文献 9被引用 4

一句话总结

本文提出 Historiographer 攻击，通过利用个性化搜索建议，在未直接劫持会话的情况下重建用户 Google 网页搜索历史（包含敏感搜索查询）。该攻击通过监控未加密的 HTTP 流量捕获认证 Cookie，并从建议模式推断过往搜索内容，表明尽管已采取安全措施，许多 Google 服务仍易受会话劫持和隐私泄露的影响。

ABSTRACT

As the amount of personal information stored at remote service providers increases, so does the danger of data theft. When connections to remote services are made in the clear and authenticated sessions are kept using HTTP cookies, data theft becomes extremely easy to achieve. In this paper, we study the architecture of the world's largest service provider, i.e., Google. First, with the exception of a few services that can only be accessed over HTTPS (e.g., Gmail), we find that many Google services are still vulnerable to simple session hijacking. Next, we present the Historiographer, a novel attack that reconstructs the web search history of Google users, i.e., Google's Web History, even though such a service is supposedly protected from session hijacking by a stricter access control policy. The Historiographer uses a reconstruction technique inferring search history from the personalized suggestions fed by the Google search engine. We validate our technique through experiments conducted over real network traffic and discuss possible countermeasures. Our attacks are general and not only specific to Google, and highlight privacy concerns of mixed architectures using both secure and insecure connections.

研究动机与目标

• 调查 Google 网页搜索历史服务相关的隐私风险及其面临会话劫持的暴露情况。
• 分析在未直接访问网页搜索历史页面的情况下，重建用户完整搜索历史的可行性。
• 评估在混合协议（HTTP/HTTPS）架构下，Google 服务（尤其是处理敏感数据的服务）的安全性。
• 证明即使存在重新认证提示，用户会话仍可能通过间接侧信道技术导致隐私泄露。

提出的方法

• Historiographer 监控未加密的 HTTP 流量，捕获已登录 Google 服务用户的认证 Cookie。
• 利用基于用户过往搜索生成的个性化搜索建议，推断其搜索历史的内容。
• 攻击使用一种重建算法，将观察到的建议模式与已知查询历史相关联，以预测先前搜索过的关键词。
• 实验基于研究机构、Tor 出口节点和 AOL 2000 万条搜索数据集的真实网络流量记录，验证攻击的有效性。
• 该方法假设建议系统是确定性的，且可通过重复的建议序列反向推导出查询模式。
• 该攻击非侵入性，不修改用户数据，仅依赖被动监听和模式分析。

实验结果

研究问题

• RQ1 攻击者是否能在不直接访问网页搜索历史页面或劫持会话 Cookie 的情况下，重建用户 Google 网页搜索历史？
• RQ2 在使用未加密 HTTP 连接时，Google 服务（包括网页搜索历史）在多大程度上易受会话劫持影响？
• RQ3 Historiographer 攻击在真实网络环境下，从个性化建议数据重建搜索历史的效率如何？
• RQ4 考虑到通过未加密网络访问 Google 服务的用户数量，潜在暴露的规模有多大？
• RQ5 混合协议架构（HTTP 与 HTTPS 共存）如何加剧具有敏感搜索历史的用户的隐私风险？

主要发现

• Historiographer 仅通过未加密的 HTTP 流量和个性化建议数据，成功重建了用户搜索历史的相当大一部分。
• 约三分之一的监控用户已登录其 Google 账户，使其成为该攻击的潜在目标。
• 由于通过 HTTP 传输未加密的 Cookie，许多 Google 服务（包括网页搜索历史）仍易受会话劫持影响。
• 该攻击极为高效：在数秒内，攻击者即可从多个设备和网络重建数月的搜索历史。
• Google 响应措施包括临时停用网页搜索历史的搜索建议，并启用仅通过 HTTPS 访问网页搜索历史页面。
• 该攻击表明，即使存在重新认证提示，通过建议系统侧信道分析仍可能导致基于会话的隐私泄露。