AndroidのWebView#addJavascriptInterfaceがどれだけ危険か検証してみた (Kanasansoft Web Lab.)
Android SDKのJavaDocの説明はかなり簡素なんだけど、WebViewのaddJavascriptInterfaceの説明は珍しく説明が多い。 端的に意訳すると、「addJavascriptInterfaceを使うと、キミのアプリケーションをJavaScriptから操作できるようになるよ。とても便利な便利だけど、危険なセキュリティの問題があるよ。キミが書いたHTML以外では使わないでね。」という感じ。 「オブジェクトを公開する」行為が危険だというのは、技術者は直感的にわかると思うけど、じゃあどれくらい危険なのか実際に試してみた。 まず、次のようなAndroidアプリケーションを作った。 「android.permission.INTERNET」をパーミッションに指定して、WebViewを画面に設定し、後述するHTMLを開くようにした。 WebViewClientの説明は割愛。
個人情報公開サイトのAndroidアプリがスマホ内の個人情報をぶっこ抜きして外部から閲覧可能だったことが発覚
レ @re4k 「全国電話帳」というAndroidアプリ、すごく危険。このアプリ、起動時に、電話帳の全てのデータ（メールアドレス・住所・名前を含む）を「住所でポン！」のサーバーに送信してる。位置情報も送信されているかも。送信されたデータは誰でも検索できるようになってる。 2012-10-05 21:35:26
高木浩光＠自宅の日記 - 企業秘密を含み得るメールの件名がNAVERへ送信されている
■ 企業秘密を含み得るメールの件名がNAVERへ送信されている 前回の日記の件、あのようなサービス形態（サービス内容の説明の構造を含む）が偶然に誕生したとは考えにくい*1ことから、現場で早まって安易な(b)の選択をする*2のでなく、元々本来の設計は「モニタ登録」した場合だけ送信するはずのものでなかったのか*3、今一度ちゃんと経営の判断も含めて検討されるよう促せないかと思い、（サポートデスクへの伝言では心許ないので）前回の日記を書いたのであった。 しかし、結局、翌日のサポートデスクからの電話回答は、利用規約の文言を変更するというもの、つまり(b)が選択されたものであった。以下のように、28日の午後*4に「必ずご確認ください」という注意書きが加えられていた。 この対応について、Twitterでは、当該事業者（NHN Japan）の本件当事者と、永久不滅プラス利用者の反応が、それぞれ以下のように
書籍「Android Security」の暗号鍵生成方法には課題がある - ockeghem's blog
書籍「Android Security 安全なアプリケーションを作成するために」は既に各方面で絶賛されているように、Androidアプリケーションの開発者には必携の書籍だと思いますが、新しい分野だけに、首をひねらざるを得ない箇所もありました。このエントリでは、同書第10章「暗号化手法」から共通鍵の生成方法について議論します。 はじめに 書籍「Android Security」（業界では「タオ本」と呼ばれているので、以下タオ本と記述）の10章では、端末内のファイルを暗号化して保存する手法について説明されています。その際に問題となるのが、鍵の生成と保管の方法です。スマートフォン端末、とくにAndroid端末は、アプリケーションのリバースエンジニアリングとルート化の可能性は常にあるため、あらゆる場合にも破られない暗号化というものはありません。このため、守るべき情報資産と、想定する脅威（言い換え
【警告】ESファイルエクスプローラーでSDカードの中身が外部から見られてしまう恐れ【要検証】 - satoweb_log
Android端末のファイルマネージャーとして 1・2を争うぐらい 便利に使える ESファイルマネージャーなのですが 特定条件で 外部からファイルが参照できてしまうようです。 事の発端はSGS2をいじっているときに ESファイルエクスプローラーの」NETタブでDropBOXをマウントし 音楽ファイルを再生すると ファイル名の欄に 127.0.0.1:～のアドレスが表示され 「もしかして ローカルに鯖たててる？！！！」 と 不安に思い検証してみました。 IPアドレスが 自宅Wifiで振られたIP ポート番号は 決め打ちです はい。。。 SDカードの中身がまるっと見えちゃいました。。。画像などもぜんぶ参照できちゃいます。 特定条件でしか発動しないとはいえどうなのよこの仕様。。。 Bloger的には画像が参照しやすくていいですが WANからも見れてしまう場合完全にセキュリティホール。 検証1:
サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会
Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係
なぜiOSでUDIDが必要とされていたのか、メモ - snippets from shinichitomita’s journal
iOSやその開発事情に詳しいと言える状態にはないので、調査を兼ねて書く。 Apple Sneaks A Big Change Into iOS 5: Phasing Out Developer Access To The UDID – TechCrunch http://wirelesswire.jp/Watching_World/201108221335.html 上記の「iOSでUDIDの利用が禁止」というニュースを聞いた時、正直TL上にこんなにいっぱい反応が貼り出されるとは思っていなかった。さすがにUDIDをいじるのはまずいよね、っていうコンセンサスは開発者の間では常識的部類に入ってくるのだろうと楽観的に捉えていたのかもしれない。 以下、なぜUDIDがそのようにスマートフォン開発者に利用されてきたのかについて、調べた限りでまとめてみた。 アプリケーションのサーバとのセッション保持 い
私はいかにしてソフトバンク端末60機種のJavaScriptを検証したか - ockeghem's blog
昨日のソフトバンクの非公式JavaScript対応の調査結果 | 徳丸浩の日記で報告したように、昨年5月に、ソフトバンク60機種の検証を行い、JavaScript対応の状況などを調査しました。当時はまだ公式なJavaScript対応機種はない状態でしたが、既にほとんどの端末が *非公式に* JavaScriptに対応していました。 このエントリでは、検証の様子を報告します。 なぜJavaScript対応状況を調査したか http://www.hash-c.co.jp/info/20091124.htmlを公表した前後に、とある方（この方）から、ソフトバンクのケータイでもJavaScriptが動作すると伺いました（参考のやりとり）。XMLHttpRequestも含めてJavaScrptが動くと教えていただいた932SHを私も購入して調べたところ、以下が判明しました。 確かにJavaScrip
スマートフォンで「できちゃうこと」って？
スマートフォンで「できちゃうこと」って？：イチから始める！ Androidセキュリティ（1）（1/3 ページ） 「もいちどイチから！ HTTP基礎訓練中」でWebアプリケーションの脆弱性と対策について学んだクウが、今度はAndroidの世界に挑戦。Android特有の問題、PCや従来の携帯電話向けのWebアプリとの違いや対策について紹介します。（編集部） やっぱ時代はスマートフォンだよね？ クウはベンチャー企業で働くエンジニア。同僚のユウヤや開発チームのリーダー、ナツさんと一緒にWebアプリケーションの開発に携わる傍ら、勉強会に顔を出してはWebアプリのセキュリティについて知識をためてきた。そんな彼が次に興味を持ったのは……。 クウ 「Androidアプリできたよー♪」 ユウヤ 「ん？ なんでそんなん作ってんの？」 クウ 「お勉強のために自分で作ったのだ♪ いまどきは、スマートフォン向けア
無線ＬＡＮただ乗り 組織的詐欺か - 山陽新聞地域ニュース
岡山、広島など５県警の合同捜査本部が２月上旬、インターネットを使った詐欺容疑で逮捕した２人が、ホテルを転々としながら近くの民家の無線ＬＡＮの電波を無断で使う「ただ乗り」という手口で犯行を重ねていたことが２４日、捜査関係者への取材で分かった。足が付かないようにするためとみられ、組織的に詐欺を重ねた事件の摘発は珍しいという。 ２人は住所不定、無職の佐藤亘（２８）、持留彰宏（２８）の両容疑者。８日に逮捕された。逮捕容疑は２００９年１０月、北九州市内で通信販売サイトに接続。あらかじめ不正に入手していた他人のクレジットカード情報を使い、ブルーレイディスクプレーヤー２台をだまし取った疑い。 岡山県警によると、２人は福岡県を拠点とする詐欺グループのメンバー。０８年１０月ごろ、広島、北九州市のビジネスホテルに４、５日間ずつ滞在しながら転々としていた。ホテル近くの民家で使われているセキュリティーの掛かってい
IEに情報流出の脆弱性、Microsoftがアドバイザリー公開
ユーザーがWindows XPを使っているか、IEの保護モードを無効にしている場合、ファイルにアクセスされてしまう恐れがある。 米Microsoftは2月3日、Internet Explorer（IE）の脆弱性情報が公開されたことに対応して、新たなセキュリティアドバイザリー（980088）を公開した。 Microsoftのこれまでの調べによると、この脆弱性はユーザーがWindows XPを使っているか、IEの保護モードを無効にしている場合に影響を受ける。悪用された場合、攻撃者がファイルにアクセスできてしまう恐れがあり、情報流出につながる可能性が指摘されている。現時点でこの脆弱性を突いた攻撃の発生は確認していないという。 なお、Windows Vista以降のOSで、IE 7と8をデフォルトの状態で使っている場合は、保護モードが機能するためこの問題の影響は受けないとしている。 Windows
高木浩光＠自宅の日記 - 「WPA-TKIPが1分で破られる」は誤報
■ 「WPA-TKIPが1分で破られる」は誤報 先月、無線LANのWPA-TKIPが1分以内に破られるという報道があり、話題となった。 無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり, Gigazine, 2009年8月5日 今回の方法は昨年11月に発表された「Tews-Beck攻撃」（略）がQoS制御を利用する機器に限定されるものであり、鍵の導出に15分もの時間が必要であったのに対して、わずか数秒から数十秒で導出してしまうことができるというもの。（略） 今回発表される方法では、TKIPにおける定期的に変更される鍵について、TKIPのプロトコルの新たな脆弱性を利用して極めて短時間（数秒から数十秒）で導出し、その鍵を効率よく利用する方法として新たな中間者攻撃を開発したとのこと。 無線LANセキュリティ「WPA」をわずか1分以内で破る手
FON - LaFoneraのセキュリティホール発見でござるの巻 - FreeBSDいちゃらぶ日記
FONって「プライベートネットワークを安全に保ったまま、外部にネットワークを貸し出すことのできる」ツールだと思ってたのですが。 実はそんなでもなく、少しだけ複雑なネットワークを組んでしまうと、すぐに脆弱性が露呈するという、非常に頼もしいツールだったりした訳です。はい。 ネットワークに入られちゃうよぉぉおおお 家の中にネットワーク(サブネット)が二つあると、FONがつながっている方のネットワークは安全に守られるんだけど、FONが参加していない方のネットワークは丸見えになってしまいます。 「そんなネットワークは、そんなに無いだろ(苦笑」っていう人もいるかも知れないけど、実はそんなでも無くて 病院 市役所 学校 とか、普通にサブネット複数あります。そして、こういう所に居る自称物知りさんが「こういうFONってのがあるんだZE☆」とか言いながら、ネットワーク管理者に無断でFONを設置しちゃったりして
Ubiquityのセキュリティ的問題点 - hogehoge @teramako
最近の事情は全く調べてないので、既出かもしれないが、Ubiquityは仕様上もの凄く怖い点がある。 それは、コマンドがChrome特権下で動作するということだ。 Chrome特権下で動くと言う事はXPCOMが使えると言う事。何でも出来るということになる。 実際に作ってみた。 テンプレートからexecuteの部分だけ書き換えたもの /* This is a template command */ CmdUtils.CreateCommand({ name: "example", icon: "http://example.com/example.png", homepage: "http://example.com/", author: { name: "Your Name", email: "you@example.com"}, license: "GPL", description: "
高木浩光＠自宅の日記 - 新はてなブックマークの登録ブックマークレットは使ってはいけない
はてなブックマーク（以下「はてブ」）がリニューアルされ、ブラウザからブックマークレットでブックマーク登録（以下「ブクマ登録」）しようとすると、図1の画面が現れるようになった。「こちらから再設定をお願いします」と指示されているが、この指示に従ってはいけない。ここで提供されている新型ブックマークレットは使ってはいけない。（この指示には従わなくてもブクマ登録はできる。） 新型ブックマークレットを使用すると図2の画面となる。ブクマ登録しようとしているWebサイト（通常、はてな以外のサイト）上に、はてブの画面のウィンドウが現れている。これは、Ajaxと共に近年よく使われるようになった「ページ内JavaScriptウィンドウ」である。（ポップアップウィンドウとは違い、ウィンドウをドラッグしてもブラウザの外に出すことはできず、あくまでも表示中のページ上のコンテンツであることがわかる。）
IE 8でセキュリティ機能のデフォルト設定が変更に
IE 7ではデフォルトでオフになっていたセキュリティ機能のDEPとNXが、Windows VistaとWindows Server 2008上のIE 8ではデフォルトでオンになる。 MicrosoftはInternet Explorer（IE）の主要なデフォルト設定を変更し、ハッキングしようとする攻撃者を阻止する計画だ。 Microsoftは、Windows VistaとWindows Server 2008で稼働するIE 8では、データ実行防止（DEP：Data Execution Prevention）と非実行ページ保護（NX：No eXecute）機能をデフォルトでオンにする。これは、ブラウザの脆弱性を軽減するための大きな変更だ。 DEPとNX（以下DEP・NXと表記）はIE 7で既に備わっていたが、後方互換性を保つためにデフォルトでオフになっていた。 このデフォルト設定の変更によっ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
知らぬ間に“自宅ビュー”を撮影されている恐怖、AndroidマルウェアのPoC 
ダウンロードが少ないファイルは警告を出すIE9 - kkamegawa's weblog
国内100社以上で感染、「mstmp」などのファイル名で拡散する不正プログラム 
『まあぶっちゃけ』
