Android 4.1+ enable TLS 1.1 and TLS 1.2 - blog.dev-area.net
I recently had to work on an Android application that consumed an API which removed support for TLS 1.0 connections for security reasons. The Android documentation for SSLSocket says that TLS 1.1 and TLS 1.2 is supported within android starting API level 16+ (Android 4.1, Jelly Bean). But it is by default disabled but starting with API level 20+ (Android 4.4 for watch, Kitkat Watch and Android 5.0
How I discovered a vulnerability in hundreds of Mac OS X applications
How I discovered a vulnerability in hundreds of Mac OS X applications January 29, 2016 Lately, I was doing research connected with different updating strategies, and I tested a few applications working under Mac OS X. This short weekend research revealed that we have many insecure applications in the wild. As a result, I have found a vulnerability which allows an attacker take control of another c
Experts Found a Unicorn in the Heart of Android › Zimperium Mobile Security Blog
By:Zuk Avraham Follow Zuk Avraham (@ihackbanme)Joshua Drake Follow Joshua Drake (@jduck)Nikias Bassen Follow Nikias Bassen (@pimskeks) UPDATE: Zimperium’s Mobile Threat Protection customers are safe from this threat, even without updating the device to the latest Android version. Companies that have reasons to believe that they are under active Stagefright attacks, should contact us ASAP at stagef
Logjam Attack自分用メモ: 独房の中
HTTPS接続等に使われるDH鍵交換は1990年代、クリントン政権時に強度の輸出制限が行われた。FREAKと同様にDHEで使用する鍵を中間者攻撃にて弱い1024bit未満にする攻撃Logjamが発表された。トップ1Mサイトの8%が影響http://arstechnica.com/security/2015/05/https-crippling-attack-threatens-tens-of-thousands-of-web-and-mail-servers/ — 高梨陣平 (@jingbay) 2015, 5月 20 Logjamはブラウザ側でも1024bit未満の弱い接続を利用しないようにする必要がある。IEはLogjamに対して安全な更新が出ている。Chrome、Firefox、Safariは近日中にLogjamへの対応更新がリリースされる予定 http://arstechnica.
The Laws of Vulnerabilities: The GHOST Vulnerability | Qualys Community
The GHOST vulnerability is a serious weakness in the Linux glibc library. It allows attackers to remotely take complete control of the victim system without having any prior knowledge of system credentials. CVE-2015-0235 has been assigned to this issue. Qualys security researchers discovered this bug and worked closely with Linux distribution vendors. And as a result of that we are releasing this
Credential storage enhancements in Android 4.3
Our previous post was not related to Android security, but happened to coincide with the Android 4.3 announcement. Now that the post-release dust has settled, time to give it a proper welcome here as well. Being a minor update, there is nothing ground-breaking, but this 'revenge of the beans' brings some welcome enhancements and new APIs. Enough of those are related to security for some to even ca
Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響～国内でいまだ大量稼働するStruts 1利用企業に、直ちに緩和策を～ | セキュリティ対策のラック
更新情報 よく寄せられる質問へのリンクを追加しました。 お客様からお問い合わせをいただきましたので、弊社で検証した環境情報を追記しました。本文中「（2014/04/25追記）」とある部分をご覧ください。 推奨する対策に含まれる正規表現の記載を修正しました。本文中「（2014/04/25修正）」とある部分をご覧ください。 今回の脆弱性を悪用した攻撃を検知しました。 よく寄せられる質問を追加しました。 Struts 2の脆弱性を修正したバージョン2.3.16.2がリリースされたことを追記しました。 新たに割り当てられた共通脆弱性識別子CVEを追記しました。 株式会社ラック サイバー・グリッド研究所は、Apache Struts 2 に存在するとされた、リモートの第三者による任意のコード実行を許す脆弱性(CVE-2014-0094)と同様の問題がApache Struts 1 においても存在して
RootCloak：rootチェック機能付アプリからroot状態であることを隠すXposedモジュール | juggly.cn
この記事では、root状態のチェック機能を備えたAndroidアプリから端末がroot化されていることを隠してくれるroot端末ユーザー向けのXposedモジュール「RootCloak」を紹介します。 Androidアプリの中には端末がroot化されていることをチェックするものも多く存在します。そういったアプリから端末がrooot化されていることを隠すのが今回紹介する「RootCloak」です。 アプリの利用方法は、まず、Xposedインストーラーのダウンロードタブから「RootCloak」をダウンロードして有効にします。次に、アプリを起動して右上の「+」アイコンをタップ。インストール済みアプリの一覧が表示されるので、root状態であることを隠したいアプリを選択します。基本的な設定は以上で完了です。 ただし、rootのチェック方法がアプリによって異なるため、全てのrootチェック機能付アプ
Changes to the SecretKeyFactory API in Android 4.4
In order to encrypt data, you need two things: some data to encrypt and an encryption key. The encryption key is typically a 128- or 256-bit integer. However, most people would rather use a short passphrase instead of a remembering a 78-digit number, so Android provides a way to generate an encryption key from ASCII text inside of javax.crypto.SecretKeyFactory. Beginning with Android 4.4 KitKat, w
Beware Accidental APIs: Avoid Intents as Extras
Earlier this year, I wrote a blog post warning developers about exposing broadcast receivers to third parties, as this creates an API that third parties might use, for good or ill. However, the problem of accidental APIs is more general, and sometimes more subtle, than this. Screwing up what you allow third party apps to do can have some serious costs to you or your users. A couple of weeks ago, A
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TOZ - Advanced Cybersecurity Made Simple
Logjam: TLS vulnerabilities (CVE-2015-4000) - Red Hat Customer Portal
Qualys SSL Labs - Projects / SSL Client Test
https://www.qualys.com/2015/01/27/cve-2015-0235/GHOST-CVE-2015-0235.txt
Custom Permission Vulnerability and the 'L' Developer Preview
Blog | Samsung Knox
KNOX Contribution to Android: Accelerating Android in the Workplace
Vicious Heartbleed bug bites millions of Android phones, other devices
Androidアプリの脆弱性の学習・点検ツール AnCoLe：IPA 独立行政法人 情報処理推進機構
The Storage Situation: Internal Storage