スマホアプリの脆弱性診断って何するの？（iOS編） - STORES Product Blog
*本記事は STORES Advent Calendar 2023 6日目の記事です こんにちは。セキュリティ本部のsohです。 現在、弊社ではスマホアプリ診断内製化の準備を進めています。 同じようにスマホアプリの脆弱性診断を内製化したい、というニーズがある会社は多く存在しますが、実際のところ、スマホアプリを対象とした脆弱性診断士の確保は困難であり、外部ベンダーの方にすべてお願いせざるを得ないケースも多いかと思います。 また、その情報の少なさから、スマホアプリ診断を実施したいと考えている開発者や脆弱性診断士にとっても、「何をやればいいのか」「何から始めればいいのか」がわからないものである場合は多いかと思います。 そこで、この記事では「スマホアプリ診断って実際何をしているのか」と疑問を持つ方をターゲットとして、一般的なスマホアプリ診断の検証要件や検証方法について解説します。 要件とガイドライ
Google Pixelのスクショ編集機能に脆弱性 3月更新で修正済みだがPNG画像の個人情報漏えいの恐れ
米GoogleのPixelシリーズに搭載されているスクリーンショット編集機能「マークアップ」の脆弱性が、エンジニアのサイモン・アーロンズ氏とデビッド・ブキャナン氏によって3月18日にツイートで明らかにされた。この脆弱性により、PNG形式の画像でトリミングや塗りつぶしを行った部分が復元可能となっていた。Googleは3月のセキュリティ更新でこの問題を修正したが、暗号化されない画像アップロードサービスでは注意が必要だと、エンジニアたちは警告している。 マークアップは、Android 9から利用できるようになっているスクリーンショットの編集機能だ。スクリーンショットを撮影し、画面左下に表示されるサムネールをタップすることで編集画面を表示できる。 例えばマークアップで電話番号などの個人情報部分を塗りつぶしたり、見せたくない部分をトリミングしたりしたPNG画像は、アーロンズ氏が「aCropalyps
【要注意】Windows 11にGoogle Playをインストールするための「Powershell Windows Toolbox」がマルウェアだった | ソフトアンテナ
ホームソフトウェア【要注意】Windows 11にGoogle Playをインストールするための「Powershell Windows Toolbox」がマルウェアだった 【要注意】Windows 11にGoogle Playをインストールするための「Powershell Windows Toolbox」がマルウェアだった 2022 4/16 Windows 11ではAndroidアプリを実行するための機能が導入され、大きな注目を集めています。 公式にはWindows 11で実行できるAndroidアプリはAmazon Appstoreからのみインストールできるとされていますが、Google Playストアをインストールする非公式な方法やツールが存在し、このようなツールの一つである「Powershell Windows Toolbox」がマルウェアだったことがわかりました(Neowin)。
カスタムURLスキームの乗っ取りとその対策
カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル
Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる | おそらくはそれさえも平凡な日々
追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST
悪意あるアプリがほぼすべてのアプリを乗っ取れるAndroidの脆弱性「StrandHogg 2.0」
2019年に発見されたAndroidの脆弱性で、悪意あるアプリが写真撮影やSMSの読み取り＆送信、電話録音、ログイン情報の抜き取りなどを行えるようになる「StrandHogg」と類似し、さらに危険性が高いという脆弱性「StrandHogg 2.0」が、ノルウェーのセキュリティ会社・Promonの研究者によって発見されました。GoogleはStrandHogg 2.0の最大深刻度を「緊急」と評価し、2020年5月にパッチを配布済みです。 StrandHogg 2.0 - The ‘evil twin’ http://promon.co/strandhogg-2-0/ 「StrandHogg 2.0」を用いてどのようなことができるのかというコンセプトを示したムービーが、Promonによって公開されています。 StrandHogg 2.0 - The ‘evil twin’ - Proof of
2月のAndroid月例セキュリティ情報公開、PNG関連の脆弱性などに対処
フレームワークの脆弱性は、細工を施したPNGの画像ファイルを使ってリモートの攻撃者に特権で任意のコードを実行される恐れがある。 米Googleは2月4日、Androidの月例セキュリティ情報を公開し、携帯電話会社やメーカーなどのパートナー向けに提供した脆弱性修正パッチの内容を明らかにした。ユーザーにはそうしたパートナーを通じてパッチが配信される。 恒例通り、月例パッチは「2019-02-01」と「2019-02-05」の2種類が公開された。「2019-02-01」ではフレームワークとライブラリおよびシステムの脆弱性に対処しており、7.0～9までのAOSPバージョンが対象となる。 中でも深刻度が「Critical」に指定されたフレームワークの脆弱性は、細工を施したPNGの画像ファイルを使って、リモートの攻撃者に特権で任意のコードを実行される恐れがあり、特に危険性が大きい。
Alphabet、DNSクエリを暗号化するアプリ「Intra」を公開--ネット検閲に対抗
Googleが設立し、Alphabet傘下の子会社として運営されているテクノロジインキュベーターのJigsawが米国時間10月3日、ISPレベルのDNS操作への対抗策として、DNSクエリを暗号化できるAndroidアプリ「Intra」をリリースした。 DNS操作は、独裁的な政権や悪質なISPがネット検閲に用いる最も一般的な手法の1つで、ニュースサイト、情報ポータル、ソーシャルメディアプラットフォーム、望ましくないソフトウェアなどへのアクセスを遮断するのに利用されている。 Intraは、独裁政権が支配する国のISPなど、国家レベルの監視能力を備えた第3者からDNSのトラフィックを隠すことで、DNSが操作されるのを防ぐ。 技術的に見ると、Intraは「DNS over HTTPS」（DoH）というまだ新しいテクノロジを実装している。この技術はまもなく、Internet Engineering
「公式」QRコードリーダーを使うと読み取り時の位置情報がQRコード作成者に提供される | スラド Submission
あるAnonymous Coward 曰く、 先日、読み取りづらいQRコードに遭遇したため、いくつかのQRコードリーダーを試していたところ「公式」を謳うQRコードリーダーが起動時に位置情報の取得を要求してくることに気づいた。位置情報を要求してくるのは、QRコードの特許及び商標を保有している株式会社デンソーウェーブと、アララ株式会社が共同開発している「公式QRコードリーダー "Q"」。 不審に思って調べてみたところ、実はこの「公式」QRコードリーダーは「アクセス解析機能」が有効化された特別なQRコードを読み取ると、GPSを使った高精度の位置情報が開発元のログ収集サーバー(api.qrqrq.com) に送信される仕組みとなっていた(ログ送信時のキャプチャ)。もちろんQRコード自体に、そのような仕様が存在しているわけではなく、位置情報の送信は「公式QRコード作成サイト」(2017年9月開始)
Home - Broadcom Community - Discussion Forums, Technical Docs, Ideas and Blogs
VMware Explore Registration Is Open Map your next move at the industry’s essential cloud event in Las Vegas August 26 – 29. Register Now Welcome VMware Members We are pleased to announce that VMware Communities, Carbon Black Community, Pivotal Community, and the Developer Sample Exchange will go live on Monday, 5/6. Stay tuned for updates. Read More Welcome VMware Members We are pleased to annou
Androidアプリの暗号通信、脆弱性リスクのある実装が4割に - ソニー調査
ソニーデジタルネットワークアプリケーションズは、市場に流通しているAndroidスマートフォンアプリケーション(apkファイル)から、「脆弱性のあるアプリ」の動向について分析した結果をまとめた「Androidアプリ脆弱性調査レポート 2015年12月版」を公開した。 同社は2年前に、Androidアプリのセキュリティを専門とする立場からリサーチを行い、最初の「Androidアプリ脆弱性調査レポート」を発表を開始。今回のレポートでは、2年前のデータを踏まえ、現在のAndroidアプリの脆弱性状況の分析結果と、開発者が脆弱性に対処するための「実践的な脆弱性対策」を解説している。 調査によると、脆弱性対策の取り組み状況の指標となる「アクセス制御不備」の割合が、前回調査(2013年)の88%から29%減の59%となった。同社はこの結果を「アプリの脆弱性対策が本格的に開始された状況がデータとして表れ
Googleはユーザーが所有するスマホの端末ロックをリモート解除可能と発覚
ニューヨークの地区検事長が公開したスマートフォンの暗号化および安全性に関するレポートに「捜索・差押許可状が発行されている場合に限り、GoogleはAndroid搭載スマートフォンの端末ロックをリモートで解除できる」という旨の記載がありGoogleの広報が説明する事態にまで発展しています。 11.18.15 Report on Smartphone Encryption and Public Safety.pdf (PDF)http://manhattanda.org/sites/default/files/11.18.15%20Report%20on%20Smartphone%20Encryption%20and%20Public%20Safety.pdf Google can remotely bypass the passcode of at least 74% of Android
Androidアプリ内のPNG画像にマルウェアを仕込んでアンチウイルスソフトを回避する手口が発見される
by TechStage Androidアプリに含まれるPNG画像に、暗号化した「トロイの木馬」を埋め込み、アンチウイルスソフトを回避してしまうAndroidアプリが発見されました。 Android Malware: Android malware drops Banker from PNG file http://b0n1.blogspot.jp/2015/11/android-malware-drops-banker-from-png.html マルウェアに関して研究しているLukas Stefankoさんは、PNG画像のファイルデータの中にBase64エンコード方式のトロイの木馬が埋め込まれているAndroidアプリを発見したそうです。ファイル内にマルウェアが潜んでいるのはよくある手口ですが、画像に暗号化したウイルスを仕込む方法は非常に珍しいとのこと。 マルウェアが埋め込まれたアプリ
不正アプリのインストールをユーザーが拒んでも無理矢理インストールする極悪マルウェアが登場
By frankieleon すでに発見されていた削除不能なマルウェア「Shuanet」「Kemoge(ShiftyBug)」「Shedun」に、不正なアプリを自動でインストールする機能があり、たとえ不正アプリのインストールをユーザーが拒んでも、勝手にインストール作業を敢行できるという恐るべき能力があることが分かりました。なお、この極悪マルウェアはセキュリティ専門家から「感染したら最後、スマートフォンを買い換えるのが賢明」と評価されています。 Trojanized adware family abuses accessibility service to install whatever apps it wants | Lookout Blog https://blog.lookout.com/blog/2015/11/19/shedun-trojanized-adware/ This A
中国バイドゥがAndroidにバラまいた猛毒
中国のバイドゥ（百度）が提供するAndroid用アプリに重大なセキュリティ上の問題が発覚。その影響範囲の広さから衝撃が走っている。この問題への対処は可能だが、感染経路などを考えると、今後の影響は広範囲に及ぶ可能性がある。 問題が見つかったのはバイドゥが提供しているAndroidアプリ開発キット（アプリ開発を容易にする部品集）の「Moplus」だ。Moplusは、特に中国で開発されているAndroid用アプリに多数採用されている。影響範囲が広い理由の一つは、開発キット自身がセキュリティ問題を抱えているため、それを使って作成されたアプリにも同様の問題が存在している可能性を否定できないためだ。 バイドゥには前科 バイドゥがセキュリティ問題を引き起こしたのは今回が初めてではない。日本語かな漢字変換ソフト「BaiduIME」に、入力した文字列をバイドゥのサーバーにアップロードする機能が備わっているこ
グーグル、「Android 6.0」デバイスの自動暗号化を適用へ
Googleは2015年に入り、「Android 5.0」搭載スマートフォンおよびタブレットの自動暗号化を見送ったのち、「Android 6.0 Marshmallow」でこの要件を適用することを決めた。 出荷時にAndroid 6.0を搭載し、一定の性能基準を満たす新型スマートフォンは、デフォルトで暗号化されていることが必須となる。Android Policeは、Googleが最新の「Android Compatibility Definition」文書に行った変更を報じた。変更部分は以下のように記述されている。 フルディスク暗号化に対応し、Advanced Encryption Standard（AES）の暗号化性能が毎秒50MiB（メビバイト）を超えるデバイスの実装では、ユーザーが箱から取り出して初期設定を完了した時点で、フルディスク暗号化がデフォルトで有効になっていなければならない
Android端末をルート化する不正アプリ、Google Playで確認--トレンドマイクロ
トレンドマイクロは10月7日、Android端末をルート化する不正アプリ2種を「Google Play」で確認したと公式ブログで発表した。「Brain Test」や「RetroTetris」という名前に心当たりがあるユーザーに、今すぐに端末を確認するよう呼びかけている。 RetroTetrisはAndroidのバージョン2.3（Gingrebread）以降、Brain Testはバージョン2.2（Froyo）以降でインストール可能。なお、Brain Testは9月24日以降はGoogle Playから削除されており、RetroTetrisについては、Google Playのセキュリティチームに報告済みで、現在回答を待っているという。 RetroTetrisは、8月21日にGoogle Playで初めて公開されたパズルゲーム「テトリス」を装った不正アプリ。同社では、この不正アプリによって中国
悪質なAndroidアドウェア、世界20カ国で流通
人気アプリを無断で改ざんする「リパッケージ」の手口を使って流通し、同一作者のものと見られるアプリがGoogle Playでも配信されていた。 Androidに迷惑な広告を表示する悪質なアドウェアが世界各国で流通し、同じ作者のものと見られるアプリが「Google Play」でも配信されていたことが分かった。セキュリティ企業のFireEyeが10月7日のブログで伝えた。 FireEyeによると、問題のアドウェア「Kemoge」は正規の人気アプリを無断で改ざんする「リパッケージ」の手口を使って増殖している。被害は20カ国以上で確認され、政府機関や大企業にも影響が及んでいるという。 攻撃者はサードパーティーのアプリストアにKemogeをアップロードして、Webサイトやアプリ内広告を通じてダウンロードさせる手口を利用。ユーザーが起動すると端末の情報が収集されて外部のサーバに転送され、画面には執拗に広
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
日本
【悲報】8月に広告が問題になった百度のSimejiアプリにMoPlusとの連携処理がある事が発覚
