Androidアプリセキュリティ〜WebViewの注意点(1)〜 | Remote TestKit
WebViewとその脆弱性とは WebViewとはWebページを表示するための画面部品です。簡単にアプリケーション内にWebページを表示できるため多くのアプリケーションで使用されていますが、外部とのインタフェースを持つ機能であることや使用頻度が多いことに起因してか報告されている脆弱性の数も多くなっています。 実際に報告された脆弱性を見てみましょう。これまで発表されたWebViewに関する脆弱性の実例についてJVN iPedia(※1)を見てみると、以下のような脆弱性が確認できます。 Sleipnir Mobile for Android における WebView クラスに関する脆弱性 Yahoo!ブラウザーにおける WebView クラスに関する脆弱性 Dolphin Browser における WebView クラスに関する脆弱性 iLunascape for Android における W
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
Samy Kamkar - evercookie - virtually irrevocable persistent cookies
October 11, 2010: Reported on the front page of the New York Times Find the latest details, code, and implementations on github @ https://github.com/samyk/evercookie DESCRIPTION evercookie is a javascript API available that produces extremely persistent cookies in a browser. Its goal is to identify a client even after they've removed standard cookies, Flash cookies (Local Shared Objects or LSOs),
日本HP 公式ウェブサイト - ノートパソコン、デスクトップ、プリンター、インク、トナー
Click or use the tab key to select your country Africa Afrique América Central Argentina Asia Pacific Australia Bangladesh België Belgique Bolivia Brasil Canada Canada - Français Caribbean Česká republika Chile Colombia Danmark Deutschland Ecuador Eesti España France Hong Kong SAR Hrvatska India Indonesia Ireland Italia Latvija Lietuva Magyarország Malaysia México Middle East Nederland New Zealand
アドビ、「Flash Player」の「クリックジャッキング」回避策を発表
Adobeは米国時間10月7日、攻撃者が「Flash」のセキュリティ設定を変更できるという重大な問題に対する回避策を発表した。 WhiteHat Securityの最高技術責任者（CTO）であるJeremiah Grossman氏が9月にブログに投稿した内容によると、「クリックジャッキング（clickjacking）」という言葉は、「攻撃者がユーザーをだまし、ほとんど気付かないか、気付くチャンスが一瞬しかないような何かをクリックさせるような攻撃手法」に付けられた名前であるという。また同氏は、「クリックジャッキングへの対策は主としてブラウザベンダーの双肩にかかっている」と述べたものの、自身とRobert Hansen氏は協議のうえで、これ以上の詳細情報の公開を控えるとともに、最近開催された「OWASP NYC AppSec 2008 Conference」で行う予定だった討論もAdobeから
Adobe - デベロッパーセンター : Flash Player 10ベータでのセキュリティに関する変更について
Trevor McCauley Adobe 作成日:2008年８月11日 ユーザレベル:中級, 上級 製品:Flash Player 次期バージョンのAdobe Flash Playerでは、様々な新機能や拡張機能が提供されるほかに、Flash Playerの現在の動作が一部変更されます。この変更に伴って、セキュリティルールがより厳格になり、そのルールに準拠するために既存のコンテンツの更新が必要になる場合があります。また、セキュリティルールの変更に伴って、以前は使用できなかった機能や制限されていた機能にアクセスできる場合もあります。 Flash Player 10ベータでのセキュリティに関する以下の変更をご確認ください。このリストを使用して、次期バージョンのFlash Playerで既存のコンテンツが正しく動作するために変更が必要かどうかを判断できます。 対策を要する変更 ポリシーファ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
