Let's Encryptのルート証明書切替周り(完結編) | おそらくはそれさえも平凡な日々
tl;dr 驚くべきハックにより旧Androidも引き続き証明書エラーなくサイトを閲覧できそうです いよいよ5/4に標準の証明書チェーンが切り替わります 前回までのおさらい Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる Let's Encryptの証明書切替周りその後 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしています。現在は、IdenTrustのルート証明書(DST Root CA X3)が使われています。 正確に言うと、ISRGは新しい認証局なのでそのルート証明書の普及率も当然低く、中間証明書はIdenTrustのルート証明書でクロスサインされており、それが標準で使われています。標準がDSTになっているだけで、ISRGのルート証明書のチェーンの証明書も指定すれば今で
Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる | おそらくはそれさえも平凡な日々
追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST
Androidファームウェアに埋め込まれた削除困難なマルウェアが出現
Dr.Webは、Androidデバイスのファームウェアに埋め込まれた新たなトロイの木馬を発見したと報告しています。 このマルウェア（名称：Android.Becu.1.origin）は、ユーザーの承諾なくプログラムをダウンロード・インストール・削除するほか、特定の番号からのSMSをブロックする機能を備えています。 複数のモジュールで構成され、メインモジュールのapkファイルはシステムディレクトリ内に存在。ユーザーの許可なしにあらゆる動作を行う権限を持つようOSによるデジタル署名が付加されており、従来の方法でプログラムを削除することが非常に難しいといいます。 具体的な機序について、Dr.Webは次のように説明しています。 Android.Becu.1.originは感染したデバイスが起動されるか、または新しいSMSを受信する度に悪意のある動作を開始し、暗号化されたパッケージを設定ファイルに従
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
Androidの脆弱性（まとめ版）
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 について見つけたいきさつを記事にしました。 こちらは長いので、ざっくりバッサリ、なるべく簡潔に、何ができちゃうのか・何がヤバいのかをまとめます。 【原因】 WebViewの addJavascriptInterface()の危険性（参考）が、Android 3.x／4.0／4.1 ではWebViewそのものに存在する。 このためWebViewをそのまま使っているアプリや、WebViewのラッパにすぎない標準ブラウザに同様の脆弱性がある。（Android版ChromeはWebViewを使っていないので問題ないです） 【何ができてしまうか】 JVNに書かれている通り Android 標準ブラウザや WebView クラスを利用しているアプリで、細工されたウェブページを閲覧した際に、ユーザの意
ＨＰ閲覧で勝手にアプリ導入 NHKニュース
アンドロイドのスマートフォンでホームページを閲覧すると、アプリが勝手にダウンロードされる問題が１４日から相次いでいることが分かりました。 セキュリティー会社では、念のため削除するよう呼びかけています。 セキュリティー会社の「シマンテック」などによりますと、アンドロイドのスマートフォンでインターネットのホームページを閲覧すると、アプリが勝手にダウンロードされる問題が１４日から相次いでいるということです。 このアプリは、中国の会社が提供している「ｍｏｂｏｇｅｎｉｅ」と呼ばれる壁紙やゲームなどを紹介するもので、セキュリティー会社の調査では、外部に情報を流出させるなどといったことはないということです。 このアプリは、ホームページを閲覧した際に表示されるバナー広告の配信システムを通じて配られているとみられるということです。 調査に当たったセキュリティー会社「シマンテック」の浜田譲治主任研究員は、「ア
第2回 「AndroidでMITB攻撃」の可能性、root化は攻撃のハードルを下げる
前回は「Man in the Browser」（MITB）と呼ぶ新しい攻撃を取り上げた。パソコンを対象にしたマルウエアを使った攻撃で、被害者側では防ぎにくく、気付きにくいのが特徴だ。最近はAndroidスマートフォンを狙うマルウエアが急増している。ではAndroidでもMITB攻撃は起こり得るのか。脅威の可能性を検証した。 マルウエアを使った攻撃手法が高度化している。代表格とも言えるのが、「Man in the Browser」（MITB）である。この攻撃ではマルウエアをブラウザーに介入させ、画面や送信データの書き換えなどを行う。オンラインバンクのパスワードを盗んだり、不正口座に振り込ませたりというものだ。 「防ぎにくく」「気付きにくい」攻撃なのが特徴で、二要素認証が事実上無力化されてしまったり、ユーザー側からは正常な挙動にしか見えなかったりする。2012年秋以降、日本国内でもオンラインバ
Home - Broadcom Community - Discussion Forums, Technical Docs, Ideas and Blogs
VMware Explore Community Tracks - Videos View Live Streams and On Demand Videos from this year's Community sessions.. View Community Sessions VMware Explore Community Tracks - Videos View Live Streams and On Demand Videos from this year's Community sessions.. View Community Sessions VMware Explore Community Tracks - Videos View Live Streams and On Demand Videos from this year's Community sessions.
携帯紛失時用アプリ『Android Lost』は失くしたあとでもインストール可能！ | ライフハッカー・ジャパン
Android：携帯紛失時用アプリの多くは、紛失する前にアプリがインストールされていることを条件としています。しかし、『Android Lost』はリモート操作でのインストールが可能で、電話の現在地を確認する以外にも便利な機能を搭載しています。冒頭の動画のようにAndroid LostはGPSを特定するだけでなく、携帯のデータ消去、ロック、写真撮影、ポップアップメッセージの送信、着信履歴の取得、SDカードの消去、マイクを使った音声の録音、アラームの開始などができる優秀なアプリとなっています。 アプリのインストールはGoogle Playサイトからリモートで可能。SMSをデバイスに送信して登録します。SMS機能のないタブレットを使っている場合でも『Jumpstart』を使えば携帯のリモート登録が可能です。 例えばロックパスワードを忘れてしまった場合、家に携帯を忘れてしまった場合など、紛失時以
IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
IPAから「Androidアプリの脆弱性」ドキュメントが公開されました。
昨日JSSEC(日本スマートフォンセキュリティ協会）から公開された、プログラマ向けのドキュメントをご紹介しましたが、今度はIPAからプログラマ向けのドキュメントが公開されました。 IPA テクニカルウォッチ 『Androidアプリの脆弱性』に関するレポート ～簡易チェックリストで脆弱（ぜいじゃく）性を作り込みやすいポイントを確認～ ２３ページなのでさくっさくっと読んでみました。 記載範囲としてはＩＰＡが調査した脆弱性で、件数が多い物を中心に解説されています。 ページ数も多くなく、読むのにそんなに苦労しないため、つぼを押さえるにはとても良いと感じました。 IPAに届け出られるAndroid アプリの脆弱性関連情報も増加傾向にある。 届け出られた脆弱性は、アクセス制限の不備に関するものが 7 割以上であった。さらに分析した 結果、これらは Android の仕組みを理解し、適切にアクセス制限の
違法ダウンロードの制裁が狙い？ 新手のAndroid不正アプリが出現
ファイルを違法にダウンロードしたユーザーに恥をかかせようとするAndroid向けの不正アプリがファイル交換サイトで出回っているという。 「私は海賊版のアプリを使っています」というメールを全連絡先に送信してしまう不正なアプリケーションがAndroid向けに出回っているという。米Symantecが3月31日のブログで伝えた。ファイルを違法にダウンロードしたユーザーに恥をかかせる狙いがあるとみられる。 同社によると、問題の不正アプリケーションは「Walk and Text」というアプリケーションの「バージョン1.3.7」として、北米とアジアの大手ファイル交換サイトで配布されていた。Walk and TextはAndroid Marketで提供されている正規のアプリケーションだが、1.3.7は実在しないバージョンだという。 このアプリケーションを実行すると、名前、電話番号、IMEI情報といった重要
Android用マルウェア、日本語版アプリにも混入
ノートンブランドは NortonLifeLock Inc. の一部です。 Copyright © 2022 NortonLifeLock Inc. All rights reserved. ノートンLifeLock、ノートンLifeLock ロゴ、Checkmark ロゴ、Norton、LifeLock、Lockman ロゴは NortonLifeLock Inc. または関連会社の米国およびその他の国における商標または登録商標です。Firefox は Mozilla Foundation の商標です。Android、Google Chrome、Google Play、Google Play ロゴは Google, LLC の商標です。Mac、iPhone、iPad、Apple、Apple ロゴは Apple Inc. の米国およびその他の国における商標または登録商標です。App Stor
Android(CVEなし/BID-45048)
これは嫌だなぁ。 Androidのブラウザの仕様の欠陥により、リモートから任意の情報を取得される脆弱性。 Androidのブラウザはファイルをダウンロードするときにプロンプトが表示されず自動的にダウンロードされる。 ダウンロードしたHTMLファイルがJavaScriptを利用していても確認画面を表示されず自動的に実行される。 これにより、任意のファイルを読み込まされ、攻撃者に情報を送信するように仕向けられてしまう。 Android is prone to an information-disclosure vulnerability. A remote attacker can exploit this issue to obtain potentially sensitive information. Information obtained may aid in furthe
Edy公式のAndroid用アプリの仕様がヤバそう、というか謎すぎる - あのに・すなる
（※2月1日AM8:18 まとめを追加） ――――――――――― ■まとめ（こちらだけ見た方がわかりやすい） 2011年1月31日に公開されたEdyの公式Androidアプリには、「Edyで使った金額をTwitterにPost（ツイート）する」という機能がある。Postすると #edynow ハッシュタグが自動的に付加される。（※ただし、Postする決済はユーザーが任意に選ぶ） twitterの #edynow には、既にけっこうなユーザーが使った金額のデータをPostしている。 お金を使ったデータってけっこうプライベートな情報なのだけれど、いくらユーザーが同意しているとはいえ、本当にいいのかしら？ という点が気になる。 しかも、Postしてもユーザーメリットはいまのところないらしい。……え？ ユーザーメリットがない以上、使われなくなることが簡単に予想できるのだが……これは誰が得するのだ？
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
二要素認証アプリ「Microsoft Authenticator」Android版に設定のバックアップ機能が追加／新規デバイスへの移行時に二要素認証を再設定する手間を省けるように
マカフィー株式会社 プレスリリース - マカフィー、iPad、iPhone、iPod touch用のセキュリティ製品を発表 2010年6月28日
ggsoku.com
安全なAndroidアプリ開発の鉄則
