グーグル、Rust採用で「Android」のメモリーに関わる脆弱性が激減
メモリー関連の不具合を減らすために、「Android」の新しいコードにRustを使用するというGoogleの判断は、成果を挙げているようだ。この数年で、Androidのメモリー安全性関連の脆弱性は半分以下になった。この成果が達成された時期は、GoogleがCやC++からメモリー安全性の高いプログラミング言語であるRustに切り替えた時期と一致する。 Androidに発見されたセキュリティホールの中で、最も件数が多かったカテゴリーがメモリー安全性関連の脆弱性でなかったのは2022年が初めであり、Googleは1年前に、「Android Open Source Project（AOSP）」で新しいコードのデフォルト言語をRustに切り替えている。 GoogleがAndroidに使用しているほかのメモリー安全性を備えた言語には、JavaやJava互換のKotlinがある。AOSPで主流の言語はま
Google Cloud、ゼロトラストなWindowsサーバ管理者用RDPクライアント、「IAP Desktop」を発表
Google Cloud、ゼロトラストなWindowsサーバ管理者用RDPクライアント、「IAP Desktop」を発表：「BeyondCorp」の一環 Google Cloudは、「Beyond Corp」への取り組みの一環として、Google Cloud Platform上のWindows仮想マシンに対する安全なRDPアクセスを実現するオープンソースのWindowsアプリケーション、「IAP Desktop」を発表した。 Google Cloudは2020年5月22日、Google Cloud Platform（GCP）上のWindows仮想マシンに対する安全なRDPアクセスを実現するオープンソースのWindowsアプリケーション、「IAP Desktop」を発表した。ゼロトラストセキュリティを実現する同社の「Beyond Corp」への取り組みの一環。 IAP Desktop はリモ
Googleが発表したコンテナランタイムサンドボックスgVisorについて発表してきたのでまとめてみた - Flatt Engineering Blog
はじめに はじめまして、Flatt., Inc. でCEO兼週末エンジニアをやっている @niconegoto です。 今回扱うgVisorはKubeCon2018でローンチが発表された、従来のコンテナよりも安全性を高めたコンテナランタイムであるrunscを含むプロジェクトのことです。 Googleの基盤技術と目されており、Java8/Node用の新たなGAEはgVisor上で動いていることが発表されているなど、普段業務でGAEを使用しているFlattとしても注目の技術です。 A new runtime on AppEngine: node.js Serverless, autoscaled, fully managed, and built on state of the art open source container on bare metal tech: gvisorhttps:
Symantecが再びGoogleの信頼を失った件についてのメモ - Technically, technophobic.
（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted
【悲報】Google、シマンテック発行のSSL証明書を問答無用でブロックへ : IT速報
Googleは、シマンテック発行のSSL証明証に対し、厳しい処罰を検討しているという。 シマンテックまたはその証明書の再販業者がSSL証明書を不適切に発行したという重大な事件について、Googleは厳しい処罰を検討しています。 提案された計画は、会社にすべての顧客の証明書を置き換え、それを持っているユーザーの拡張された検証（EV）ステータスの認識を停止することです。 シマンテックは、2015年のNetcraft調査によると、ウェブ上で使用される3つのSSL証明書のそれぞれについて約1つを担当し、世界最大の商用証明書の発行者となっています。数年にわたり買収した結果、VeriSign、GeoTrust、Thawte、RapidSSLなどの以前のスタンドアロン認証局のルート証明書を管理しています。 SSL / TLS証明書は、ブラウザとHTTPS対応のWebサイトとの間の接続を暗号化し、ユーザー
「Google Drive」、無料ストレージ2GBをプレゼント中ーー「セキュリティ診断」完了で | ゴリミー
オンラインストレージが多いことに越したことはない。無料でもらえるものはもらっておこう！ 昨年に引き続き、今年も「Safer Internet Day 2016」を記念してGoogleアカウントの「セキュリティ診断」を行ったユーザーに対し、「Google Drive」の無料ストレージを2GB追加してもらえるプレゼントキャンペーンを実施している！ アカウントの復旧情報や接続端末、権限の確認など 僕の場合、なぜか「セキュリティ診断」の内容がすべて英語で表示されていたが、アカウント復旧情報、接続端末、アカウント権限の確認を済ませるだけで無料ストレージ2GBが手に入るのだ。作業時間も2、3分で終わる内容となっているため、自分のGoogleアカウントのセキュリティ状況を確認しつつ行うべし！ なお、僕も試したところ無事2GBのストレージが追加されていることが確認できた。昨年に引き続き2回目のキャンペーン
GoogleやMozillaが中国の認証局が発行する証明書を「信頼できないもの」として失効させる
Google ChromeとMozillaのFirefoxが、中国の認証局(CA)である「CNNIC」が発行する証明書を「信頼できないもの」として一時的に失効させることを発表しました。 Google Online Security Blog: Maintaining digital certificate security http://googleonlinesecurity.blogspot.jp/2015/03/maintaining-digital-certificate-security.html Distrusting New CNNIC Certificates | Mozilla Security Blog https://blog.mozilla.org/security/2015/04/02/distrusting-new-cnnic-certificates/ Goo
Google、開発者に迷惑ソフトのデータを提供へ
「Safe Browsing API」では迷惑ソフトウェアに関するデータを開発者に提供し、Google以外のセキュリティサービスや製品にも組み込んでもらえるようにする。 米Googleは3月24日、Web上の不正コンテンツ阻止を目的としたセキュリティ対策サービス「Safe Browsing」について、迷惑ソフトウェアに関する情報をSafe Browsing APIに追加し、開発者が利用できるようにしたと発表した。 Safe Browsingは、ユーザーが不正なプログラムをダウンロードしようとすると警告が表示されるサービス。2月からは、そうした不正プログラムをダウンロードさせるWebサイトを表示する前に警告が出るようになっていた。 同サービスのAPIではこれまでマルウェアやフィッシング詐欺などに関するデータを開発者向けに提供してきたが、これに加えて迷惑ソフトウェアに関するデータも提供し、Go
Google、古いAndroidのサポート終了か 9億台で脆弱性放置の恐れ
Rapid7の研究者によると、GoogleはAndroid 4.3（Jelly Bean）までのバージョンについて、WebViewの脆弱性修正パッチの提供を打ち切った。 世界でまだ9億台あまりの端末に搭載されている旧バージョンのAndroidについて、米Googleが脆弱性を修正するパッチの提供を打ち切っていたことが分かったという。脆弱性検証ツール「Metasploit」を手掛けるRapid7の研究者が1月12日のブログで伝えた。 それによると、Googleは最近まで、Android 4.3（Jelly Bean）の脆弱性について報告を受けると迅速に対応していた。ところが、このほど新たに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4よりも前のバージョンであれば、我々は一般的に、自らパッチを開発
「Google Chrome」が「OpenSSL」の使用を中止--「BoringSSL」に切り替え
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「Google Chrome」の（開発者向け）最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。 OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題を呼んだ。この脆弱性を突かれると、HTTPSを介して行われたクレジットカード決済の情報などのセキュアなメッセージの中身だけでなく、プライマリおよびセカンダリSSLキー自体も盗み見されてしまう可能性があった。またその後、中間者（MitM）攻撃を可
Gmailの乗っ取りが国内で相次ぐ、パスワードの強化や2段階認証の利用を
12月24日以降、Webメールサービス「Gmail」のアカウントを乗っ取られる事件が国内で相次いでいる。日経パソコン編集部にも、乗っ取られたアカウントから送信されたとみられるメールが複数送られている。Gmailユーザーは、パスワードの強化や2段階認証の有効化が急務。既に乗っ取られていないかどうか、ログイン履歴（アカウントアクティビティ）も確認しよう。 被害に遭ったユーザーによるネットへの書き込みなどによると、Gmailのパスワードが推測や総当たり攻撃により破られて、不正にログインされているようだ。不正にログインした攻撃者はそのユーザーになりすまし、アドレス帳に登録されているメールアドレスに対して、迷惑メール（スパム）を送信している。 迷惑メールの本文には、特定のURLだけが記載されている（図1）。このURLのWebサイトに誘導することが攻撃者の目的だったと考えられる。同サイトは現在では閉鎖
Android Marketの安全策が明らかに、「Bouncer」でアプリを自動検査
米グーグルは2012年2月2日、Android Market（3月7日から「Google Play」に名称変更）で配布するアプリケーションの安全性を確保するために、2011年から「Bouncer」（用心棒）と呼ばれるマルウエア検知システムを使ってアプリを自動検査していることを明らかにした。既知のマルウエアと同じかどうかをチェックするだけでなく、動作を解析し、不審な動きを見せるアプリを排除する点が特徴だ。 米グーグルの発表によると、Android Marketには2011年から「Bouncer」というコードネームが付けられた仕組みが追加されているという。Bouncerは、新規登録あるいは登録済みアプリケーションを解析して、既知のマルウエアが含まれていないか、マルウエアに相当する不審な挙動をしていないかなどをチェックする（図1）。 実は、Android Marketにおけるマルウエアスキャンは
Google、Android Marketにマルウェア対策機能「Bouncer」を追加
公式アプリストアに自動スキャン機能「Bouncer」を追加してから、マルウェアのダウンロード数は激減したとGoogleは主張する。 米Googleは2月2日（現地時間）、モバイルアプリストアAndroid Marketからマルウェアを閉め出すための自動スキャン機能「Bouncer（コードネーム）」を発表した。この機能は既に稼働しているという。 Bouncerは、Android Marketに新規にアップロードされるものだけでなく、既に公開されているアプリと開発者のアカウントを自動的に分析し、マルウェアの疑いのあるアプリを発見する。自動的なプロセスのため、ユーザー体験を損なったり、面倒な承認プロセスで開発者に負担を掛けることはないとしている。 Android Marketには米AppleがApp Storeへの登録で義務付けているような厳格な承認プロセスがないため、これまで何度も不正アプリが
asahi.com（朝日新聞社）：スマホの有料アプリ、情報流出に注意 国が実態調査へ - ビジネス・経済
印刷 関連トピックスグーグル従来型携帯とスマートフォンの決済の流れの違い 一部のスマートフォン（多機能携帯電話）で「アプリ」という有料ソフトを買った人の個人情報が流出する問題が発覚し、総務省と経済産業省は１３日、実態調査に乗り出した。しかし、スマホは、従来の携帯電話とは決済の仕組みも違い、利用者の情報をどう守るかが課題になりそうだ。 トラブルは、米グーグルの基本ソフト「アンドロイド」上で使うアプリを購入するサイト「アンドロイドマーケット」で起きた。ここで有料アプリを買った人の所番地や部屋番号を含む住所、電話番号などが、知らない間にアプリの提供事業者に送られていた。グーグルは、システムの更新で生じた不具合として、１２日までに改善したが、詳細部分を除いた住所やメールアドレスが送られる仕組みは今後も続く。 今回の事態を受け、川端達夫総務相は１３日、「事実関係を確認し、対処していきたい。やっ
最近 Android Market の売上レポートに購入者の個人情報が思いっきり入るようになってしまった件 - むらかみの雑記帳
'13/7/6 追記: Google Play の売上情報に、購入者の個人情報が入らなくなりました 注: '12/1/13、Google側が誤りであったことを認めたとのことです。詳細は一番下の追記参照。 最近、Android Market の売上レポートに購入者の完全な名前・住所・電話番号・メールアドレスなどが表示されるようになってしまい、少々困っています。 Android Market でのアプリ売上は Google Checkout というサイトで確認できるようになっており、それぞれの売上ごとに詳細なレポートを閲覧できるようになっています。以下はその中の抜粋です（個人情報は全部塗りつぶしています) 配送先というところに、購入者の完全な住所・名前・携帯電話番号・メールアドレスが入ってしまっています。この配送先は前からレポートには出ていたのですが、以前は情報は部分的なものでした（住所は番地
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Googleが侵入型Androidアプリの識別に機械学習を利用
巧妙なので注意、Google ドライブで作られた偽のGoogle Docsログインページ 
ggsoku.com
Engadget | Technology News & Reviews
TechCrunch
