Clip On kwmr

Chrome拡張攻撃の手口

　Black Hatのプレゼンテーションで両氏は1つの拡張機能に問題があることを示し、それによって別の拡張機能への攻撃が可能になることを示した。この技術を人気パスワード保存サービスのLastPass（同名の企業が提供）に対して実証。LastPassに脆弱性はなかったにもかかわらず、ある拡張機能に存在するXSSの脆弱性を突いて被害者のLastPassアカウントのパスワードを盗み出し、完全に制御して見せた。この技術にはセッションcookieを盗み、被害者による同サービスへのアクセスを乗っ取る過程が含まれる。

　「RSSリーダー、メール着信通知、メモ取りツールなど、どこかの場所から取り入れた情報をユーザーに表示するものは事実上全てこの危険にさらされる。被害者のHDDについてはアクセスすることにもその内容にも気を留めない。XSSは、攻撃者が求めている以上のものを全て与えてしまう」とヨハンセン氏は解説する。

　さらに悪いことに、「BeEF」というブラウザ活用フレームワークがサイバー犯罪集団による攻撃の自動化支援に使われる可能性もある。BeEFはセキュリティ専門家が使っている正規のオープンソースツールだが、脆弱性のある拡張に挿入して被害者のChromebookのバックグラウンドに常駐させ、攻撃者の思うままに悪質なJavaScriptを実行させることが可能だという。

サードパーティー開発者の責任

　問題は、サードパーティー開発者が設定するChrome拡張のパーミッションにある。パーミッションでは拡張機能がGoogle DocsやサードパーティーのWebサイトといったWebベースのリポジトリにアクセスしてデータを利用できるようにする。例えば銀行用の拡張機能なら、銀行のサーバにアクセスして情報を取得する必要がある。RSSフィードリーダーの拡張機能の場合、ほぼあらゆるドメインにアクセスできるパーミッションが必要になるため、大きな問題になるかもしれないと研究者は言う。WhiteHatの研究者が説明した技術を使えば、攻撃者がリポジトリをハッキングしてデータを盗み出すことも可能になる。

　脆弱性を修正して不必要なパーミッションを排除する責任はサードパーティーの拡張機能開発者にあるかもしれない。Googleのリポジトリにはコード検証プロセスが存在しないため、拡張機能に要求されるパーミッションが多過ぎるかどうかを判断するのはユーザーの裁量に委ねられる。

　「つまりわれわれは開発者のセキュリティに対する配慮についてのみならず、実行のためにオープンなパーミッションを要する一部の拡張機能についても心配しなければならない。パーミッションが極めて幅広くオープンな拡張も出回っている」とヨハンソン氏。

OpenID が流行るか流行らないかを判断するには、”follow the money” いわゆる「お金の匂い」がするかどうか嗅いでおくこと、つまりは、リーダー的企業の動きを追っかけっていればいいでしょう。OAuth 2.0 と同じく、OpenID Connect は、数ある技術標準の中でも、Google と Microsoft、Facebook の三社が好んで技術的関与をしているという点で、類を見ない標準です。

これらの企業や、リライング・パーティがどうしていくのかは、誰も予想出来ないけども、彼らがどこに投資しているのかについては見ておくことができます。関連するカンファレンスやパイロットで、JanRain や PingIdentity のような業界のリーダー的企業が、OpenID プロトコルに対して、数年掛けて数億円の投資を行っているわけです。

このような投資の動きを見てると、今日の Web におけるソーシャルへのログインやシングルサインオン以上の価値がありそうだと判断できます。投資アナリスト達は、世界的に Identity Management ソリューションに大きな需要があると言っていて、PingIdentity や JanRain のような会社は、ファンドからの大規模の投資を受け、このビジネス機会をものにしようとしています。

もちろん不安要素もあるわけで、Chuck Mortimore 氏が言うような新しいマーケット環境に適応するために、OpenID が過去1、2年ずっと静かだったという点です。だけども、標準というものをつくることは、そんなに簡単ではなく、時間とお金がかかります。業界のリーダー的企業によって率いられるボランタリーのコミュニティは、OpenID のような基本技術を再設計するには、いろいろと配慮する必要があるわけです。

超スゲェ楽になれる方法を知りたいか?
誰でも幸せに生きる方法のヒントだ
もっと力を抜いて楽になるんだ。
苦しみも辛さも全てはいい加減な幻さ、安心しろよ。

この世は空しいモンだ、
痛みも悲しみも最初から空っぽなのさ。
この世は変わり行くモンだ。
苦を楽に変える事だって出来る。
汚れることもありゃ背負い込む事だってある
だから抱え込んだモンを捨てちまう事も出来るはずだ。

この世がどれだけいい加減か分ったか?
苦しみとか病とか、そんなモンにこだわるなよ。

見えてるものにこだわるな。
聞こえるものにしがみつくな。

味や香りなんて人それぞれだろ?
何のアテにもなりゃしない。

揺らぐ心にこだわっちゃダメさ。
それが『無』ってやつさ。
生きてりゃ色々あるさ。
辛いモノを見ないようにするのは難しい。
でも、そんなもんその場に置いていけよ。

先の事は誰にも見えねぇ。
無理して照らそうとしなくていいのさ。
見えない事を愉しめばいいだろ。
それが生きてる実感ってヤツなんだよ。
正しく生きるのは確かに難しいかもな。
でも、明るく生きるのは誰にだって出来るんだよ。

菩薩として生きるコツがあるんだ、苦しんで生きる必要なんてねえよ。
愉しんで生きる菩薩になれよ。
全く恐れを知らなくなったらロクな事にならねえけどな
適度な恐怖だって生きていくのに役立つモンさ。

勘違いするなよ。
非情になれって言ってるんじゃねえ。
夢や空想や慈悲の心を忘れるな、
それができりゃ涅槃はどこにだってある。

生き方は何も変わらねえ、ただ受け止め方が変わるのさ。
心の余裕を持てば誰でもブッダになれるんだぜ。

この般若を覚えとけ。短い言葉だ。

意味なんて知らなくていい、細けぇことはいいんだよ。
苦しみが小さくなったらそれで上等だろ。

嘘もデタラメも全て認めちまえば苦しみは無くなる、そういうモンなのさ。
今までの前置きは全部忘れても良いぜ。
でも、これだけは覚えとけ。

気が向いたら呟いてみろ。
心の中で唱えるだけでもいいんだぜ。

いいか、耳かっぽじってよく聞けよ?

『唱えよ、心は消え、魂は静まり、全ては此処にあり、全てを越えたものなり。』
『悟りはその時叶うだろう。全てはこの真言に成就する。』

心配すんな。大丈夫だ。