[ヘルプTop] [戻る]
代替ストリームのサンプル
代替ストリーム(ADS)の表示サンプルです。
内容は実際に見ていただいて判断していただいた方が良いと思って、黒塗りが多くて申し訳ありませんが雰囲気が分かるサンプルを用意しました。
また、ユーザーが簡単に参照できないデータを、ユーザーに断りなく、ユーザーが使用することも許されない情報が大量に付与されるということの警鐘になればと思います。
※注意
この記事は2023年4月9日の時点のものです。
これらの情報は非公開情報であり、OSの版やアプリや会社によって、良くも悪くも自由に利用されております。
またこれらの情報は、アナウンスなしで内容が変化します。
EdgeでMicrosoft社のサイトからダウンロードした実行ファイル
ZoneIDではなく、SmartScreenという代替ストリームになっています。
自社だけ、特別扱いしているのが明確に分かるサンプルではないでしょうか・・・なんて書くと、こっそり修正されるかもしれませんが現時点でこうなっています。
それにしても「Anaheim」ってどういう意味でしょう・・・
Edgeで一般のサイトからダウンロードしたzipファイル
ZoneIDにダウンロードしたURLと、ダウンロードファイルのURLが記載されています。
一般アプリの代表として、Sluckからダウンロードしたxlsxファイル
ZoneIDにダウンロードしたURLと、ダウンロードファイルのURLが記載されています。
おそらくリクエストの引数は記事番号や管理番号なのではないかと思われ、セキュリティ的に問題ないかは不明です。
Microsoft社のアプリの代表として、TeamsからダウンロードしたTXTファイル
ZoneIDにダウンロードファイルのURLが記載されています。
こういった代替データストリームの対策を始めたきっかけは、平文ですのでこの情報を見れば筆者の勤務先および、勤務先のメールアドレスといった個人情報が埋め込まれており、業務遂行中に個人情報の漏洩に繋がると考えたためです。
リクエストの引数には、明らかにセキュリティ上の問題があります。
※個人情報保護法で、メールアドレスのユーザー名及びドメイン名から特定の個人を識別することができる場合は個人情報であるとされています。
ちなみに、TXTファイルの中身は3KBですので、このファイルが使用する全データサイズは4.5KBとなります。