カスタムURLスキームの乗っ取りとその対策 - Akaki I/O
カスタムURLスキームの乗っ取りとその対策 2021年5月17日 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイルOS
iOS/Android セキュリティガイドライン - Qiita
必須: 基本的に対応が必要。何らかの要因で対応できない場合は関係者への同意をとる。 できれば：状況的に困難でなければなるべく対応する。 基本対応なし：特別な要件がなければ対応しない。 直近修正履歴(2018/11/21) [OS共通] ログ出力の対策にproguardによる方法を追記 [iOS] 通信データのキャッシュの対策に一部問題があったため修正 [OS共通] 通信の暗号化 対応要否：必須 リスクの詳細 HTTPで通信を行うと通信データが平文でネットワークに流れるため、情報漏洩の危険性がある。 対策 通信を行う場合はHTTPS(SSL/TLS)通信を利用する [OS共通] SSL証明書のチェック 対応要否：必須 リスクの詳細 通信やWebViewで行われるSSL証明書の正当性検証を無効化すると、ネットワーク管理者などにより通信経路上のデータ改竄、傍受が可能になる。 対策 試験環境で証明
ルーターの設定書き換え攻撃、依然猛威 Androidデバイスの完全制御が狙いか
「今回のマルウェアの目的は、2段階認証情報を含むユーザーデータを盗み、Androidデバイスを完全な支配下に置くことにある」とKasperskyは推定する。 ルーターの設定を書き換えて不正アプリに感染させる攻撃が日本国内などで頻発している問題について、セキュリティ企業のKaspersky Labsが4月17日のブログで詳しい分析結果を公表した。 この攻撃では、ルータのDNS設定が書き換えられて不正なIPアドレスに誘導され、Androidマルウェアの「facebook.apk」「chrome.apk」がダウンロードされる。 Kasperskyでは2018年2月9日から4月9日の2カ月間で、わずか150人のユニークユーザーから、このマルウェアを6000回以上検出したといい、「一部のユーザーは自分のネットワークに同じマルウェアが何度も何度も現れるという苦痛を経験している」と推測する。検知数が最も
Android の安全を保つ: Nougat のセキュリティ強化
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
2maru.com
2maru.com 2018 Copyright. All Rights Reserved. The Sponsored Listings displayed above are served automatically by a third party. Neither the service provider nor the domain owner maintain any relationship with the advertisers. In case of trademark issues please contact the domain owner directly (contact information can be found in whois). Privacy Policy
JPCERT/CC、Javaのセキュアコーディング規約集を公開 Androidアプリ開発で注意すべき点もフォロー
「CERT Oracle Java セキュアコーディングスタンダード」（原題: The CERT Oracle Secure Coding Standard for Java）は、カーネギーメロン大学ソフトウェア工学研究所のCERTプログラムのもと、Oracle社、JPCERT/CC、およびJavaの専門家が共同で開発したJavaのコーディング規約集。 スマートフォンの急速な普及により、エンドユーザーと接するフロントエンドでのJava利用が進む中、セキュリティ対策の重要性が一層高まっている。規約に従い、堅牢かつセキュアなコーディングを行うことは、ソフトウェア品質の向上、テストやトラブル対策のコスト削減につながる。 JPCERT/CCは、この開発に貢献するとともに、ドキュメントを日本語に翻訳した。また日本語版では、セキュアなAndroidアプリケーション開発を行う上で関係のあるルールの一覧も
「Android 2.2」のエンタープライズ機能に賛否両論
GoogleはAndroid端末の新OSでエンタープライズ市場参入を狙っているようだが、BlackBerryの機能と比較するとまだ不十分だと評価するアナリストもいる。 米Googleの「Android 2.2」OSは、企業ユーザーへの訴求を意識した設計となっている。米Research In Motion（RIM）のBlackBerryプラットフォームのロックダウン機能には及ばないものの、同OSは強力なエンタープライズ機能を備えているのが特徴だ。 5月に開催された「Google I/O」カンファレンスで披露され、7月23日にオープンソースとしてリリースされたAndroid 2.2は、ポリシー管理APIを提供する。このAPIを利用すれば、Microsoft ExchangeからAndroid端末のリモートワイプやスクリーンロックのタイムアウトなどの機能を実行可能にするアプリケーションを開発でき
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
Android Security & Privacy Year in Review 2018: Keeping two billion users, and their data, safe and sound
DeNA Engineering - DeNAエンジニアのポータルサイト