Portals は、iframeに似ていますが、スピードとユーザーエクスペリエンスをより重視したウェブの新しい機能です。portal要素は、Chromiumベースのブラウザーで、プリファレンス・フラグの下でのみ利用可能です。対応する仕様は現在も活発に議論されています。 残念ながら、この新機能の研究により、新たなXS-Leaksを含むいくつかの重大な問題が発見されました1。 ID Leaks # Portalsは、ID Attribute XS-Leakの代わりとして悪用される可能性があります。Webサイトがframing protectionsを設定している場合、Portals 要素を代わりに利用することで同じ手法を適用することができます2。 参考文献 # Security analysis of <portal> element, link ↩︎ Detecting IDs using Portal, link ↩︎
Scroll to Text Fragment (STTF) は、ユーザーがウェブページのテキストの任意の部分へのリンクを作成できるWebプラットフォームの新機能です。フラグメント#:~:text=は、ブラウザによって強調表示されてビューポートに取り込まれるテキストスニペットを運びます。この機能は、攻撃者がこの動作の発生を検出できることで、新しいXS-Leakをもたらします。この問題は、Scroll to CSS SelectorのXS-Leakに非常によく似ています。 期待される課題・議論される課題 # この機能の仕様に関する初期の議論では、単純な実装でいくつかのXS-Leakをもたらせることが示されました1。この仕様では、様々な攻撃シナリオ2が考慮されており、Googleの研究結果も同様です3。この機能を実装する際、ブラウザが注意すべきXS-Leakの可能性の1つは、以下の通りです。 攻撃者は、ページをiframeとして埋め込むことで、親ドキュメントのonblurイベントを聞くことによって、ページがテキストにスクロールされたかどうかを検出することができます。この方法は、ID Attribute XS-Leakと類似しています。このシナリオは、Chromeの実装4では、トップレベルのナビゲーションで発生するフラグメントナビゲーションのみを許可しているため、緩和されています。 現在の課題 # warning これらのXS-Leaksは、ターゲットページに何らかのマークアップを注入する必要があります。 STTFの開発過程で、フラグメントナビゲーションを検出するための新しい攻撃やトリックが発見されました。そのうちのいくつかは今でも有効です。 攻撃者が制御するiframeを埋め込んだWebページでは、テキストへのスクロールが発生したかどうかを攻撃者が判断することができるかもしれません。これは、IntersectionObserverAPIを使用して行うことができます5 2 3。 ページがレイジーローディングで画像を含む場合、攻撃者は画像が[ブラウザにキャッシュ]cached in the browserされているかどうかをチェックすることで、画像を含むフラグメントナビゲーションが発生したかどうかを検出することができます。これは、レイジーローディングの画像は、ビューポートに表示されたときにのみ取得（およびキャッシュ）されるため、機能します。 important Scroll to Text Fragmentは、Chromeでのみ利用可能です。仕様書ドラフトは現在検討中です。 info Scroll to Text Fragment XS-Leaksでは、ページ上に1つの単語が存在するかどうかを観察し、ユーザーがページに対して何らかの操作（例：マウスクリック）を行った場合にのみ、攻撃者は一度に1ビットの情報を抽出することが可能です。 なぜ問題なのか？ # 攻撃者はSTTFを悪用して、Webページに表示されるユーザーの個人情報を漏えいさせることができます。 事例シナリオ # あるユーザが国民健康保険制度のWebサイトにログインしており、そこでユーザの過去の病気や健康問題についての情報にアクセスすることが可能でした。攻撃者はユーザーをそのページの一つに誘い込み、STTFを使用してユーザーの健康状態の詳細を推測できる可能性があります。例えば、ある病名で検索した際に、ページスクロールを検知すると、その病名が被害者の病気であることを知ることができます。 対策 # Document Policies SameSite Cookies (Lax) COOP Framing Protections Isolation Policies ✔️ ✔️ ❌ ✔️ RIP 🔗 NIP 参考文献 # Privacy concerns with proposal through inducing network requests, link ↩︎ ...