개인정보 유출: 가입 과정에서 이메일이 '공개되지 않음'이라고 표시된 뒤 Gravatar에 사용됨

기여 기능
1

Discourse의 기본 설치 환경에서는 가입 창에 이메일 주소를 입력하도록 요구합니다. 해당 이메일은 "공개되지 않습니다"라고 표시되어 있습니다. 그러나 가입 절차를 완료한 직후, 사용자가 프로필을 수정하거나 다른 작업을 수행할 기회가 주어지기 전에, 이메일 주소가 Gravatar에서 아바타를 가져오는 데 사용됩니다.

저는 이를 개인 식별 정보의 유출로 간주합니다. 원칙적으로 Gravatar는 사용자의 신원과, 따라서 이메일 주소와 연결될 수 있습니다. 사용자는 아바타를 변경할 수 있지만, 사용자가 아무런 조치를 취하기 전에 공개된 “사용자” 목록을 통해 계정과 연결된 아바타를 누군가가 확인할 수 있는 가능성이 원칙적으로 존재합니다. Gravatar 지원은 훌륭한 기능이지만, 문제는 Discourse가 가입 상자 자체의 문구인 "공개되지 않습니다"를 사용하여 이메일 주소가 비공개라는 기대를 구체적으로 형성한다는 점입니다.

이 문제를 해결하는 가장 좋은 방법은 가입 상자 텍스트를 변경하여 다른 기대를 형성하거나, "Gravatar로 아바타 가져오기"에 대한 확인란/확인 단계를 추가하는 것이라고 생각합니다.

저는 Letsencrypt 포럼에서 이 문제를 발견했으며, 테스트를 통해 try.discourse.org와 이 포럼(meta.discourse.org)에서도 동일한 동작이 확인된다는 사실을 확인할 수 있었습니다.

2개의 좋아요
2

특히 서버에서 Gravatar 서버로 암호화된 HTTPS를 통해 직접 요청이 이루어지는 상황에서 "공개"를 Gravatar라고 정의할 수는 없습니다. 그리고 이메일의 해시가 사용되지 않나요?

5개의 좋아요
3

네, 그렇습니다:

@mcc 코드를 읽은 후에도 이것이 여전히 PII 유출이라고 생각하시나요?

6개의 좋아요
4

여기서 PII(개인정보)는 이미지 자체의 내용일 것으로 추정됩니다. 이메일 주소로 Discourse 사이트에 가입할 때, 특히 이메일이 비공개라고 명시되어 있는 상황에서, 공개적으로 자신의 신원이 알려지는 것을 원하지 않을 수 있습니다.

즉, 개인정보를 보호하기 위해 임의의 사용자 이름으로 가입하되, 평소 사용하는 이메일 주소를 입력합니다. "공개되지 않음"이라는 설명에 따라, 내 이미지가 즉시 해당 계정에 연결되어 누구나 볼 수 있게 될 것이라고는 기대하지 않습니다.

5

이것을 해석하는 것이 불가능해 보입니다.

당신은 인터넷을 사용하는 모든 곳에서 프로필이 따라다닐 수 있도록 이메일과 연결하여 이미지를 Gravatar에 업로드했습니다. 따라다니는 것을 원하지 않는다면 Gravatar에 업로드하지 마세요.

:woozy_face:

9개의 좋아요
6

동의합니다. 그리고 그라바타(Gravatar)는 고유하지도 않습니다.

그라바타는 정의상 PII(개인정보)가 아닙니다. 이는 공개된 PII로, 별도의 범주에 해당합니다. 해시 값은 정의상 단방향입니다.

개인정보 보호를 진지하게 생각하는 사람은 그라바타와 연결된 동일한 이메일 주소를 어디에나 사용하지 않습니다. 플러스 어드레싱(plus addressing)을 사용하더라도 이를 우회할 수 없습니다.

이메일 주소도 공개된 PII로 간주됩니다. 이름 외에도 성별, 나이, 위치를 드러낼 수 있기 때문입니다.

7

중간 단계로, 그라바타에서 아바타를 검색할 때 선택적 옵트아웃(또는 옵트인)을 추가하는 것이 너무 어렵나요?

2개의 좋아요
8

이 사이트 설정은 이미 존재합니다:

image

8개의 좋아요
9

Discourse에서는 서버가 이미지를 실제로 다운로드하기 때문에, 해시 역산과 Gravatar 방문자 추적이라는 표준 보안 위험이 회피됩니다.

여러 이메일 계정에 동일한 아바타를 사용하는 경우(저처럼)라면, Gravatar가 아닌 이상 어떤 이메일로 포럼에 가입했는지 알아낼 수 없습니다. Discourse는 아바타 변경 이력을 저장하거나 공개하지 않으므로, 사용자의 우회 방법은 비교적 간단합니다(문자 아바타로 되돌리거나 새 이미지를 업로드). 또한 원하면 타인의 아바타를 수동으로 업로드할 수도 있습니다.

이것은 실행하기 신뢰할 수 없는 공격으로 보입니다.

6개의 좋아요