Pixel 8・Pixel 8 ProでMTEを有効にする方法
各メモリの割り当て・割り当て解除時に追加のメタデータをタグ付けし、脆弱(ぜいじゃく)性のユーズ・アフター・フリーやバッファオーバーフローを検出できるようにする「Memory Tagging 拡張機能(MTE)」がArmv9に搭載されています。このMTEを初めて有効化できるスマートフォン「Pixel 8／8 Pro」を有効にする方法について、Googleのセキュリティチーム「Project Zero」のマーク・ブランド氏が解説しました。 Project Zero: First handset with MTE on the market https://googleprojectzero.blogspot.com/2023/11/first-handset-with-mte-on-market.html Pixel 8またはPixel 8 Proの開発者向けオプションには「MTE」を有効化す
Security "Crypto" provider deprecated in Android N
If your Android app derives keys using the SHA1PRNG algorithm from the Crypto provider, you must start using a real key derivation function and possibly re-encrypt your data. The Java Cryptography Architecture allows developers to create an instance of a class like a cipher, or a pseudo-random number generator, using calls like: SomeClass.getInstance("SomeAlgorithm", "SomeProvider"); Or simply: So
『Androidアプリのセキュア設計・セキュアコーディングガイド』【2016年2月1日版】を公開しました。 | JSSEC
2015年10月にGoogleがAndroid最新バージョン Android 6.0 を公開しました。Android 6.0ではセキュリティ関連機能の利用についてユーザーの許諾を得るPermission機構が大幅に変更され、指紋認証の機能がAndroid OS自体に組み込まれる等、セキュリティ面ではこれまで以上に大きな変更がありました。 この状況を踏まえ、今回、本セキュアコーディングガイドに記載されている内容を、発行時点で一般公開されている最新バージョン Android 6.0 (Marshmallow)までの変更に対応いたしました。また、Android 6.0での変更に限らず、前バージョンのAndroid 5.0での変更についても、これまで公開していた内容に含められていなかった内容について、本版で内容追加しております。 ■本ガイド概要 本ガイドはAndroidアプリケーションのセキュリテ
難読化していないAndroidアプリケーションは脆弱性か
このエントリでは、Androidアプリケーションにおいて、難読化が施されていない場合、脆弱性にあたるかについて議論します。 はじめに Androidアプリケーションは主にJava言語で記述され、DEX形式のファイルにコンパイルされたコードを、DalvikというJava互換VM上で実行します。DEXおよびAPKファイルの仕様は公開されており、DEXにはクラスやメソッド等のシンボル名も含まれているため、リバースエンジニアリングが容易であると言われています。このため、Android SDKには標準でProGuardという難読化ツールが添付されています。 それでは、難読化の目的はそもそも何で、難読化でその目的は達成されるのでしょうか。 難読化の目的 Webアプリケーションの場合は、重要なロジックは主にサーバー側に存在するため、ソースコードを外部から取得することはできません。これに対して、スマートフ
公式Android Marketで「リパッケージ」版のアプリが氾濫
他人のアプリケーションに無断で手を加え、広告モジュールなどを付け加えて公式Android Marketで配布するケースが急増しているという。 他人のアプリケーションに無断で手を加えた「リパッケージ」版のアプリケーションが、公式・非公式のAndroid Marketで配布されるケースが過去数カ月で急増しているという。F-Secureが6月27日のブログで伝えた。 リパッケージは新手のアプリケーションを手っ取り早く作ることができる手段として開発者の間で人気が高まっているという。この手口でマルウェアを仕込んだ海賊版アプリケーションの問題はこれまでにも報告されているが、F-Secureによれば、他人のアプリケーションに無害なコードを付け加えてAndroid Marketで配布するケースも多発しているという。 その一例として挙げたアプリケーションは、オリジナル版のモジュールに広告モジュールを付け加え
Androidアプリから情報流出の恐れ、99.7％の端末に影響
Androidアプリケーションから個人情報が流出し、攻撃者に傍受されたり改ざんされたりする恐れがあるという。ドイツの研究者が発表した。 米GoogleがAndroid搭載端末で提供しているカレンダーアプリケーションや連絡先アプリケーションの情報が暗号化されないまま転送され、他人に情報を傍受されたり、改ざんされたりする恐れがあることが明らかになったと、ドイツの研究者が発表した。Androidを搭載したスマートフォンの99.7％がこの脆弱性の影響を受けるとしている。 ドイツのウルム大学の研究者が公開した情報によると、この脆弱性はGoogle CalendarやGoogle Contactsなど「ClientLogin」という認証プロトコルを使っているアプリケーションで、暗号化されないHTTPを介して認証用トークン（authToken）がやり取りされている問題に起因する。これは公衆無線LANを介
シェア伸ばすAndroidを襲った「駆除できないウイルス」の恐怖 (1/2)
前回は、スマートフォンを狙うモバイルマルウェアの現状として、Symbian端末とiPhoneを狙う脅威の現状を紹介した。続いては、シェアを伸ばしつつあるAndroid端末を狙うマルウェアを見ていこう。 続々と登場し始めたAndroidの脅威 通常では審査済みのアプリケーションしか導入できないiPhoneと異なり、Androidは比較的アプリケーションの自由度が高い。アプリケーションの配布方法も自由度が高く、 審査なしのAndroidマーケットでの入手 インターネットからのダウンロード SDカードからのファイルコピー など、複数の方法でアプリケーションが入手できるのだ。 自由度の高さは利便性の高さでもあるが、危険度も高くなってしまう。Android向けのマルウェアは、まだ多くはない。しかし、マーケットは急速に広がっており、これを狙うマルウェアは必ず増えてくる。すでに、日本語マルウェアも登場し
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SafetyNet Attestation API | App quality | Android Developers
アプリをエミュレートするアプリの登場とその危険性 / How multi-account app works
Add security config(Enforcing https) by ken5scal · Pull Request #136 · DroidKaigi/conference-app-2017
JSSEC 日本スマートフォンセキュリティ協会
GitHub - rtyley/spongycastle: Spongy Castle - a repackage of Bouncy Castle for Android (which ships a crippled version of BC)
Androidアプリのセキュア設計・セキュアコーディングガイド