SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
アプリを公開する前に、最低限知っておきたいセキュリティ事項のパワポをアッ プしました。
こんにちは。 タオソフトウエアの杉山です。 今回は炊飯について取り上げます！ 電気からガスへ 慣れると戻れない できるだけ大きな家電を買わずにすますため、 島へ移住の話【家電品 – 使わなくなった電子レンジ– 】 で触れた通り、もともと電子レンジで炊飯していました。これが水や米が変わっても使えそうな炊飯釜などを調べている中で、炊飯にガスを使うようになりました。 子どもの頃の実家のご飯も電気釜で、人生のほとんどは電気で炊飯されたご飯を食べてきました。ガスで炊飯するのは小学生の授業での経験ぐらいしかなかったですが、普段の生活で電気からガスへ変えてみたら意外と早く時間短縮になるので驚いています。 ガス代は少し上がりますが急上昇するようなことは無く、電気代が下がったので安上がりになりました。大島はプロパンガスのため、都市ガスだともっと安くなるかなと感じています。 昔のガス釜の炊飯器は壊れず美味しい
GoogleはAndroid 4.3（Jelly Bean）以下の端末向けにWeｂViewコンポーネントのセキュリティアップデートを提供しない方針らしい | juggly.cn
米 Forbes 誌が 12 日に WEB 版の記事で報じたところによると、Google は既に、Android 4.3 以下を搭載した端末に対する WebView コンポーネントのセキュリティアップデートの提供を打ち切っているそうです。このことは調査会社 Rapid7 のエンジニアリングマネージャー Tod Beardsley 氏が同社のコミュニティサイトで公開した情報をベースにしています。 WebView は、Android アプリのアクティビティとして WEB ページを表示する機能のことで、Android 4.4（KitKat）までは OS 組み込み型だったのが、Android 5.0 （Lollipop）でシステムから切り離されて Google Play ストア経由でアップデートされる仕組みに変わりました。 今回のニュースで重要なことは、今後 Jelly Bean 以下の端末で W
Android版KindleにおけるSSLサーバ証明書の検証不備の脆弱性CVE-2014-3908
本稿では、Android版KindleにおけるSSLサーバ証明書の検証不備の脆弱性CVE-2014-3908について、発見の経緯と脆弱性の詳細、起こり得る影響などについて報告します。 発見の経緯 奥一穂さんとfacebook上で会話していて、スマホアプリ等でSSLサーバ証明書の検証をする際に、コモンネームを検証していないアプリの可能性について示唆を受けました。その内容は、奥さんのブログ記事として以下にまとめられています。 Kazuho's Weblog: SSL/TLSライブラリの正しい使い方（もしくは、コモンネームの検証について） 詳しくは上記記事をお読みいただくとして、サーバ証明書の検証の要点としては以下となります。 証明書が信頼された認証局の発行したものであること 証明書の有効期限の範囲内であること サーバ証明書のコモンネームが接続しようとしているサーバと一致していること これらのう
AndroidにWi-Fi接続履歴を漏洩してしまう脆弱性があると判明、簡単な対処法もあり
By Tsahi Levent-Levi 家庭内に無線LANが普及しモバイルルータや公衆Wi-Fiスポットによって屋外でも簡単にスマートフォンやタブレット端末がネットにつながるようになりましたが、「これまでにどのWi-Fiネットワークに接続したことがあるのか」というWi-Fi接続履歴は、その人の行動履歴を代弁するものとして、時にはプライバシー情報そのものと言える場合があります。そんなWi-Fi接続履歴をAndroid OS搭載のスマートフォン・タブレット端末が漏洩してしまう危険があることが判明しました。 Is Your Android Device Telling the World Where You've Been? | Electronic Frontier Foundation https://www.eff.org/deeplinks/2014/07/your-android-d
Object.prototype.__defineSetter__を使ったAndroidでのJSON Hijackingに関して
Object.prototype.__defineSetter__を使ったAndroidでのJSON Hijackingに関して こないだShibuya.XSSで徳丸さんが紹介されてたObject.prototype.__defineSetter__を使ったJSON Hijackingに関して「Fx3系とAndroid 2系で動作する」とのことだったので検証してみた。 前書き __defineSetter__とはブラウザベンダーが独自実装したProperty AccessorでECMAScriptには定義されていない（ECMAScriptでは別の方法が定義された） 具体的な使い方は以下のとおり。 hoge = {}; hoge.__defineSetter__(‘huga’, function(val) { this.huga_ = val; }); hoge.huga = 'foo’;
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
SECCON2013 北陸大会の前日勉強会の資料 スライド形式のはこちら https://speakerdeck.com/mala/seccon2013-slide
スマートフォンのセキュリティについて ma.la 自己紹介 http://ma.la https://twitter.com/bulkneets LINE株式会社 livedoor方面の人です 仕事 JavaScript, Perl 元々の専門領域はUI, フロントエンド Webアプリ全般 認証認可周り セキュリティに関する業務 自社サービスのリリース前にチェックしたりとか 何か新しい攻撃手法見つかったら調査 他社サービスの問題見つけて報告したり オープンソースプロダクトのバグ報告したり そもそも何でJavaScriptを書いてた人間が セキュリティに関することをやっているのか あらゆるデバイスでHTML + JavaScriptが使われている どこまで悪用できるのか、どうやって修正すべきなのか 社内でもっとも詳しい 基本的にはWebの人 iOS / Android アプリ開発あまり詳しく
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
スマホでリンクをクリックするだけで究極のスパイツールと化す不具合が発覚
by Kristen Nicole Android搭載スマートフォンでリンクをクリックすると、攻撃者がフルリモートコントロール可能になってしまうというセキュリティの不具合があることが報告されました。実機を使ったデモンストレーションで実証されており、また、Android以外にiPhoneやiPad、BlackBerry、GoogleTVの端末も同様の危険に晒されている可能性があります。 How a Web Link Can Take Control of Your Phone - Technology Review サンフランシスコで開催されているRSA Conference 2012で、セキュリティ技術企業CrowdStrikeのジョージ・クルツさんらは、Android端末で誤ったリンクをクリックすると、攻撃者が端末をフルリモートコントロール可能になる不具合を発見しました。 「カメラがあっ
難読化していないAndroidアプリケーションは脆弱性か
このエントリでは、Androidアプリケーションにおいて、難読化が施されていない場合、脆弱性にあたるかについて議論します。 はじめに Androidアプリケーションは主にJava言語で記述され、DEX形式のファイルにコンパイルされたコードを、DalvikというJava互換VM上で実行します。DEXおよびAPKファイルの仕様は公開されており、DEXにはクラスやメソッド等のシンボル名も含まれているため、リバースエンジニアリングが容易であると言われています。このため、Android SDKには標準でProGuardという難読化ツールが添付されています。 それでは、難読化の目的はそもそも何で、難読化でその目的は達成されるのでしょうか。 難読化の目的 Webアプリケーションの場合は、重要なロジックは主にサーバー側に存在するため、ソースコードを外部から取得することはできません。これに対して、スマートフ
ぼくの考えたすごいブラクラ - ぼくはまちちゃん！
こんにちはこんにちは！！ 今日はiPhoneのちょっとしたメモです！ まずはデモ。 スマホで見るといいかも？→ http://bit.ly/wbKXXG ・iPhoneのSafariはaudio要素が使える ・audio要素はブラウザ上で音声を再生できる ・iPhoneだとマナーモードでも音声を再生する ・ただしiPhoneで自動再生はできない ・そのかわりクリックイベント経由などで再生することはできる ということは… ・うまくクリックを誘発するような画面をつくり (バッテリー警告そっくりのダイアログ出すとか) ・人に聴かれては困るような音声を埋め込んでおき ・電車の中などでiPhoneを使っている人が多い時間帯を狙って… 【拡散希望】 RT @Hamachiya2 これすごいよ！iPhoneユーザー必見！！ http://bit.ly/wbKXXG などとtwitterに流すことによって
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Prevent reading past the end of the buffer in 3GPP · CyanogenMod/android_frameworks_av@57db9b4
Engadget | Technology News & Reviews
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
Androidアプリの脆弱性の学習・点検ツール AnCoLe：IPA 独立行政法人 情報処理推進機構
JVN#53768697: Android OS において任意の Java のメソッドが実行される脆弱性
TechCrunch | Startup and Technology News
WebView の脆弱性編 - Android セキュリティ勉強会
Android端末向け無料セキュリティ対策アプリ「LINEアンチウイルス」を公開 | LINE公式ブログ
