来自 Web 搜索的隐私信息泄露（以 Google Web History 为例）
摘要
随着远程服务提供商存储的个人信息量增加，数据被盗的危险也随之增加。当与远程服务的连接以明文进行且认证会话使用 HTTP cookies 维持时，数据窃取变得极其容易实现。在本文中，我们研究了全球最大服务提供商（即 Google）的架构。首先，除了少数只能通过 HTTPS 访问的服务（例如 Gmail）外，我们发现许多 Google 服务仍然容易受到简单的会话劫持攻击。接下来，我们提出了 Historiographer，这是一种新型攻击，能够重构 Google 用户的 Web 搜索历史（即 Google Web History），即使该服务理应受到更严格的访问控制策略保护而免受会话劫持。Historiographer 使用一种重构技术，从 Google 搜索引擎提供的个性化建议中推断搜索历史。我们通过在真实网络流量上进行的实验验证了我们的技术，并讨论了可能的对策。我们的攻击具有通用性，不仅限于 Google，并突显了混合使用安全和不安全连接的混合架构的隐私隐患。
引用
@article{arxiv.1003.3242,
title = {Private Information Disclosure from Web Searches. (The case of Google Web History)},
author = {Claude Castelluccia and Emiliano De Cristofaro and Daniele Perito},
journal= {arXiv preprint arXiv:1003.3242},
year = {2015}
}
备注
Our report was sent to Google on February 23rd, 2010. Google is investigating the problem and has decided to temporarily suspend search suggestions from Search History. Furthermore, Google Web History page is now offered over HTTPS only. Updated information about this project is available at: http://planete.inrialpes.fr/projects/private-information-disclosure-from-web-searches