SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
iPhoneのメールアプリの脆弱性を狙うゼロクリック攻撃についてまとめてみた - piyolog
2020年4月22日、iPhoneの標準メールアプリに脆弱性が発見され、さらに悪用した標的型攻撃が既に発生していたとして北米のサイバーセキュリティ企業ZecOpsが調査結果を公開しました。その後、AppleはZecOpsが報告した悪用の事実はないとして一部否定する見解を示しています。(4/26 追記)ここではこの脆弱性に関連する情報をまとめます。 何が見つかったの？ 影響を受けるiOSの標準メールアプリ iPhoneやiPadが影響を受ける脆弱性が報告された。脆弱性が確認されたのは標準のメールアプリ(Mobilemail/Maild)。 脆弱性悪用によりメール内容の流出や変更、削除が行われる恐れがある。また他の脆弱性を組み合わせた攻撃によりデバイスをのっとられる可能性がある。 4月23日時点でゼロデイ（修正方法がない）状態。13.4.5で修正見込み。（ZecOpsが13.4.5β版で修正確
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
iOS向けGmailアプリで通信傍受の恐れ、セキュリティ対策の不備か
Android向けのGmailには実装されているセキュリティ対策が、iOS版のGmailには実装されていないとして、セキュリティ企業がブログで概略を公表した。 GoogleがAppleのiOS向けに提供しているGmailアプリには、暗号化された通信の傍受を防ぐための仕組みが実装されておらず、中間者攻撃を仕掛けられて情報を盗まれる恐れがあるとして、セキュリティ企業のLacoon Mobile Securityが7月10日のブログで概略を公表した。 Lacoonによると、Gmailのようなアプリでは通常、証明書のピン留め（Pinning）という仕組みを使ってアプリ内にサーバ証明書をコーディングし、不正な証明書を見分ける仕組みを実装している。 ところがiOS向けのGmailには、この証明書のピン留めの仕組みが実装されていないことが分かったという。 この問題を悪用された場合、攻撃者がユーザーをだま
SECCON2013 北陸大会の前日勉強会の資料 スライド形式のはこちら https://speakerdeck.com/mala/seccon2013-slide
スマートフォンのセキュリティについて ma.la 自己紹介 http://ma.la https://twitter.com/bulkneets LINE株式会社 livedoor方面の人です 仕事 JavaScript, Perl 元々の専門領域はUI, フロントエンド Webアプリ全般 認証認可周り セキュリティに関する業務 自社サービスのリリース前にチェックしたりとか 何か新しい攻撃手法見つかったら調査 他社サービスの問題見つけて報告したり オープンソースプロダクトのバグ報告したり そもそも何でJavaScriptを書いてた人間が セキュリティに関することをやっているのか あらゆるデバイスでHTML + JavaScriptが使われている どこまで悪用できるのか、どうやって修正すべきなのか 社内でもっとも詳しい 基本的にはWebの人 iOS / Android アプリ開発あまり詳しく
iOS7にアップデートしたら真っ先に変更するのが良いかもしれない2つの設定
ざっくり触ってみて、ここは設定したほうが無難だね！というところと。 これを上手に使えば良いね！というところと。 それぞれを簡単にご説明したいと思います。 Safariのセキュリティ 『設定』→『Safari』→『パスワードと自動入力』 基本的に、この項目はすべてオフにしたほうがセキュリティ的にはベストです。 おそらく今後、Safari自体に脆弱性が見つかる日も来ると思います。 （ボクは『脆弱性のないブラウザなんてありえない』と思っています） そのとき、真っ先に狙われるのは、ここに登録している情報かもしれません。 ユーザ名とパスワードの保存機能が実装されました。 頻繁にアクセスする通販サイト（Amazonなど）では毎回の入力が不要になって便利かも？ 利便性としてはたしかにアリなのかもしれないけど。 iPhoneのロックセキュリティは使いやすさとのバランスもあり、それほど強固ではありません。
アラビア語の文字列でアプリがクラッシュ、iOSとMac OS Xに問題発覚
iOSとMac OS Xで特定のアラビア語の文字列を表示させると、アプリやSafariブラウザのセッションがクラッシュする問題があることが分かった。メディア各社が8月29日に伝えた。 ロシアのセキュリティ企業Kaspersky Labのニュースサービス「threatpost」によると、この文字列は当初、ロシア語のWebサイトに掲載され、8月28日ごろからソーシャルメディアなどで出回るようになった。 問題のロシア語サイトでは、Mac OS 10.8とiOS 6でSMSやiMessages、Safariなどに問題の文字列が表示されるとクラッシュすると説明しているという。また、Twitterアプリなども影響を受けるとされる。 原因はページレイアウトやフォントを処理するApple Core Textの問題にあるといい、間もなく登場予定の次期OS X「Mavericks」（10.9）とiOS 7のβ
Engadget | Technology News & Reviews
The Polaris Dawn crew is back on Earth after a historic mission
iOS 6.1のiPhoneにパスコードを迂回するバグ〜アドレス帳・発信履歴・留守電などの閲覧が可能に
「iOS 6.1」およびのiPhoneで、ロック画面のパスコードを迂回できるバグが見つかったようです。 元記事によると、問題となるバグにより、ある手順を踏む事で、iPhoneのロック画面からパスコードを入力することなく「電話」アプリを使用できるとのこと。 これにより、 電話の発信 連絡先(アドレス帳)の閲覧 発信・着信履歴の閲覧 留守電の確認 などが可能になるとされています。 バグを実証している動画がこちら。 対象となるのは、iOS 6.1がインストールされている全てのiPhone、と報告されています。 アクセスされるのは「電話」のみで、他のアプリ等を立ち上げることはできませんが、ユーザーによっては一定のリスクがあることは間違いありません。 先日リリースされた最新の「iOS 6.1.1」では、この問題が修正されている可能性があるため、心配な方はアップデートをすることをお勧めします。【追記】
iOS 5.1のSafariに脆弱性〜アドレスバーに偽のアドレスを表示可能
iPhone・iPod touch・iPad向けOSの最新版「iOS 5.1」に搭載されているブラウザに、セキュリティー上の脆弱性が発見されたようです。[source: The Next Web ] 問題の脆弱性は、iOS 5.1の標準ブラウザ「Safari」に含まれ、これを利用するとブラウザのアドレスバー(URLが表示される部分)を偽のURLを表示することが可能になるというもの。 この問題を指摘したMajorSecurity社のDavid Vieira-Kurz氏によると、JavaScriptの 「window.open()メソッド」をハンドルする部分に存在するエラーがその原因であるとのこと。 実際にデモ用のページも用意され、iOS 5.1を搭載したiPhone・iPod touch・iPadからアクセスすると、別のサイトにも関わらずあたかもアップルのサイトのようにURLが表示されること
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
アップル、「iOS 7.0.2」を公開〜ロック画面の脆弱性を修正