スタンフォード大学のYoutubeで公開されている講義が面白いよという話
初めに
今回は、スタンフォード大学のCSの講義（CS 253 Web Security）を紹介します。、名前についている通りWeb Secな内容です。 個人的には、どの講義も面白かったです。こちらがURL
本題
因みに、全て紹介しようと思いましたが結構量があるので個人的に面白かったものを幾つかピックしたいと思います。講座の日時、講座のタイトル名で紹介します。
Oct 22: Denial-of-service, Phishing, Side Channels
Dosに、フィッシング、サイドチャネルとモリモリな内容なんですが、こちらも面白かったです。
先生が用意してくれた、サイトがかなりエグい挙動をするのでビックリしましたw
確かに、こういうjsの使われ方すると心臓に悪いなという感じでした。もちろん、そういった事が引き起こせる理由だったりもコードベースで説明してくれています。ただ、今だと幾つか動かないトラップも有ります（ブラウザ）に寄るかもしれませんが。Chromeでは動かないトラップもありました。
サイドチャネル攻撃では、リンクを押したかどうかでリンクの色が濃くなる部分も情報が漏れていると言えたり、クロスオリジンの画像をもとに、ログインしているか居ないかも判別できるという事にも気付かされました。（ログインや、ログアウトボタンのサイズが違えばそれで分かる。）
データポテチの袋の振動をもとに音声復元なんかもかなり驚きました（これは、あんまWeb関係無いけど
Web Security - Lecture 09 - Denial-of-service, Phishing, Side Channels - YouTube
Oct 17: Fingerprinting and Privacy on the Web
こちらの講義は名前の通り、Web上でのプライバシーに関する講義です。
誰々だと、特定せずともこういう特徴がある人間なのだという事を意図せずとも見るサイトの偏りなんかでかなり絞り込めるといった内容です。しかも、講師はなんとBraveの開発関係者の方による講義でそちらに関する情報も見応えありです。
個人的には、OS, 使用ブラウザ,アドブロを入れているかなどといった点に注目するだけで更にユーザーを細かく特定出来るというのは新鮮でした。また、多くのWeb APIが図らずもデバイスの情報を漏らしているという観点も驚きました。Web Audio APIだったら、オーディオチャンネル数だったり、navigator.hardwareConcurrencyなんかを使えば論理プロセッサのコア数を拾ってこれたりしますね。
こういった小さな情報でも集めていけばより個人を絞れるという所にワクワクします。
Web Security - Lecture 08 - Fingerprinting and Privacy on the Web - Pete Snyder - YouTube
Nov 21: Local HTTP server security
こちらは、ローカルHTTPサーバーに関する講義でした。Zoomや、トレンドマイクロ製品の脆弱性の話があり興味深かったです。Zoomに関しては意図的にアプリがブラウザからの直リンクで開くようにローカルサーバが建てられてりしていたようで（現在は違う）、そんな使い方あるのとなりました（CORS
）を貫通してそのリンクからアプリが何の警告も無く起こすことが出来るといった感じです。
こういった事例をもとに、ローカルサーバは使い方に気を付けましょうねといった内容でした。
Web Security - Lecture 18 - Local HTTP server security - YouTube
最後に
全部、英語だったので結構理解するのが大変でした。 どれも完全に理解出来た訳では無いので是非、僕の復習の為にも語って頂けると幸いです。（は？
