MarioNet

ServiceWorker

• 新たなブラウザ攻撃手法が見つかる--ユーザーがウェブページを離れた後も有効
  • https://japan.zdnet.com/article/35133271/
  • https://japan.cnet.com/article/35133271/

• https://twitter.com/kinu/status/1100594925484134400

噂のブラウザ攻撃の元論文を読んだけど、間違いに見える記述がちらほらあり、サンプルコードはなく、仕様では SW は自分で長生きはできず、periodic sync はどのブラウザも実装してないので何を見つけたのかよくわからない。実装のバグ？(ちなみに著者たちにも連絡を試みてる)

• https://twitter.com/nhiroki_/status/1102556263416705025

先日「Service Worker を使った新たなブラウザ攻撃手法」として話題になっていた MarioNet ですが、昨年 7 月には修正済みの実装バグに依存しており、既に動かないものだと分かりました。発表前に開発チームに確認してもらえると良かったのですが・・・

• Puppetnets: Misusing Web Browsers as a Distributed Attack Infrastructure
  • https://www.ics.forth.gr/_publications/TISSEC.puppetnets.2007.pdf