https://labs.cybozu.co.jp/blog/akky/tags/diigo/ Recent content in Diigo on akky@サイボウズラボ・ブログ Hugo ja Fri, 22 Aug 2014 00:00:00 +0000 https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/ Fri, 22 Aug 2014 00:00:00 +0000 https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/ <p><a href="https://mig5.net/content/awesome-screenshot-and-niki-bot">ブログ mig5.net のMiguel Jacqさんの記事</a>によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページに訪問したかをネットのどこかに送信する機能があるようです。</p> <p>Jacq さんは、自分が管理する<a href="http://www.ossec.net/">OSSECのサーバー上</a>の Drupal の、ログインしないとアクセスできない管理画面の複数のURLに対して、&ldquo;niki-bot&quot;という名前のbotがアクセスしてくるのをアクセスログから発見しました。</p> <p>外部から知りえないURLがアクセスされるからには、メンバーの誰かのクライアント側からURL情報が外部に漏れているのはと考えたチームは、内部で使われているブラウザ拡張を精査し、Diigo社の<a href="https://chrome.google.com/webstore/detail/awesome-screenshot-captur/alelhddbbhepgpmgidjdcjakblofbmce">Chrome拡張</a><a href="http://awesomescreenshot.com/">Awesome Screenshot</a> がURLをネットに対して送信していることを見つけた、ということです。</p> <p><a href="https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/awesome-screenshot-install-page.png"><picture> <source type="image/webp" srcset="https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/awesome-screenshot-install-page_hu_6008a677f0e685e1.webp 480w, https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/awesome-screenshot-install-page_hu_d5bb421c61ba8c71.webp 768w, https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/awesome-screenshot-install-page_hu_8a04233f378f9d33.webp 979w" sizes="(max-width: 56rem) 100vw, 54rem"> <img src="https://labs.cybozu.co.jp/blog/akky/2014/08/awesome-screenshot-collects-your-visiting-urls/awesome-screenshot-install-page.png" width="979" height="597" alt="awesome-screenshot-install-page" loading="lazy" decoding="async"> </picture></a></p> <p>このAwesome Screenshot拡張、ブラウザ上で画面を画像として保存できる拡張機能で、日本語化もされています。メインの機能自体は使いやすいと評判が良いようで、日本語で推薦するブログ記事もいくつも見つかります。</p> <p>しかし、この拡張をオンにしてウェブを閲覧していると、見ているページのURLが、Base64 エンコードを(なぜか2度)掛けて ld.crdui.com というドメインへ送られているというのです。</p> <p>無関係なサーバに閲覧履歴を送る、なんてことをしているからには、当該部分のコードは、当然難読化されているのかと思いましたが、拡張のソースコードを見てみると tr.js というファイル中で送り先のURLや情報を送信するコードが隠されもせずに普通に読める形で書かれていますね。</p> <h3 id="similarweb-の元データ">SimilarWeb の元データ?</h3> <p>こちらのページでは、この<a href="https://gist.github.com/mvirkkunen/89f61a06819530e48b53">Awesome Screenshot 拡張が7つもの外部のサーバにアクセスしている</a>ことを問題にしていますが、lb.crdui.com もこの7つのうちの1つで、<a href="http://www.howtogeek.com/180175/warning-your-browser-extensions-are-spying-on-you/">webovernet.com にリダイレクト</a>します。このwebovernet.com は SimilarWeb のサイトだと<a href="http://blog.bitbargain.com/post/94349494452/niki-bot-similarsites-spyware-adware-virus">主張している人</a>が<a href="http://www.howtogeek.com/180175/warning-your-browser-extensions-are-spying-on-you/">複数</a>います。</p> <p><a href="http://www.similarweb.com/">SimilarWeb</a> は、「このサイトを見ている人はこちらのサイトも見ています」というのを調べたりできるwebサイトです。サイトのページビューや訪問者数などの推測データも出してくれる数少ないwebサービスですが、以前から、どうやって色々なサイトのアクセス数などをそこそこ正確に推測できているのか、不思議に思われていました。</p> <p>もし、Awesome Screenshot などのブラウザ拡張が SimilarWeb にユーザーのアクセスしたURL情報を横流ししているとすれば、サイトのトラフィックを推測できるのも道理です。</p> <p>冒頭のbot、<a href="http://ns.myip.ms/info/whois/64.79.85.202/k/1814546105/website/ca.55.4f.static.xlhost.com">niki-bot の使っていたIPアドレスが、以前にSimilarWeb.com の使っていたアドレスだったという証拠も</a>出てきました。</p> <p>以上から、niki-bot = crdui.com = SimilarWeb が同じ運営者によるものという可能性は高いでしょう。</p> <p>スクリーンショットを撮るために、どうして訪問したサイトのURLを外部に送信しなければいけないのか、Awesome Screenshot のインストールページには説明がありませんし、このURL送信を止めるオプションも無いようです。</p> <p>パスワードなどの認証ではなく、URLのアドレスをランダムで長い文字列にすることによって関係者にしか開かれないページを作ったり共有したりできるサービスも多いですが、こういった擬似的な秘密ページも、そのまま送られてしまっては秘密でなくなります。</p> <p>AlexaのAPIを使う拡張などで、閲覧ページの情報を収集するようなものもありますが、ユーザーが把握していたり、前記のような秘密のURLの収集をしないように対策するなど、ある程度のセキュリティーへの配慮をしているものもあります。しかし、この Awesome Screenshot のように何も予告せずに勝手に集めるというのは問題でしょう。URL がわかると限定公開の意味がなくなってしまうようなサービスの訪問アドレスも区別無くすべて送っているとなれば、悪用される可能性もあります。</p> <p>この拡張、URL以外のもの、例えばwebサイトで入力した内容までも送っているのでは、と言っている人もいますが、Jacq さんの調査ではURLしか送られていないようだということ。</p>