DNS-over-HTTP/3 in AndroidThe latest news and insights from Google on security and safety on the Internet
カスタムURLスキームの乗っ取りとその対策
カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル
Let's Encryptのルート証明書切替周り(完結編) | おそらくはそれさえも平凡な日々
tl;dr 驚くべきハックにより旧Androidも引き続き証明書エラーなくサイトを閲覧できそうです いよいよ5/4に標準の証明書チェーンが切り替わります 前回までのおさらい Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる Let's Encryptの証明書切替周りその後 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしています。現在は、IdenTrustのルート証明書(DST Root CA X3)が使われています。 正確に言うと、ISRGは新しい認証局なのでそのルート証明書の普及率も当然低く、中間証明書はIdenTrustのルート証明書でクロスサインされており、それが標準で使われています。標準がDSTになっているだけで、ISRGのルート証明書のチェーンの証明書も指定すれば今で
Microsoft、パスワードマネージャー「オートフィル」を公開 - iPhone Mania
これまでベータプログラムで提供されていたパスワード管理のための「Microsoft オートフィル」が、iPhone、iPad、Mac、Windowsコンピュータ、Androidデバイス向けに正式な機能として公開されました。 パスワードを保存し、自動的に入力 Microsoft オートフィルを使用すると、パスワードを保存して、Windows、macOS、Android、iOS のすべてのデバイスで自動的に入力することができます。 Microsoft オートフィルでは、次の機能を使用できます。 パスワードをオンラインで保存することにより、パスワードを忘れずに済みます アクセスするサイトでパスワードを自動入力することで時間を節約できます 保存されたパスワードにすべてのデバイスでアクセスできます Microsoft オートフィルは、iOSとAndoridデバイスでは「Microsoft Authe
Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる | おそらくはそれさえも平凡な日々
追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST
多くのAndroid向け無償VPNアプリ、実はマルウェアで情報漏洩のリスク
fossBytesに2019年1月22日(米国時間)に掲載された記事「Top Free VPN Apps On Android Ridden With Malware And Privacy Leaks」が、Androidの無償のVPNアプリの多くが情報漏洩やマルウェアのリスクを抱えていると伝えた。 世界中のVPNをレビューしているTop10VPNが150の無償のVPNアプリを分析した結果、少なくとも90%のアプリがセキュリティ上の問題があることが明らかになったという。これらのアプリはすでに2億6000回以上ダウンロードされているという。 Top10VPNによると、99を超えるアプリで侵入型のアクセス許可が発見されたという。これらの許可には、ユーザーの場所、デバイス情報、マイクの使用、カメラへのアクセスなどが含まれる。 VPNアプリとリスク評価 - 資料: Top10VPN 一般的に、VP
Wi-Fi ルータの DNS 情報の書換え後に発生する事象について | NICTER Blog
Observing Cybersecurity through Darknet Wi-Fi ルータの DNS 情報の書換え後に発生する事象について 3月15日ごろより，Twitter やブログ等で，自宅のWi-FiルータのDNS 情報が書き換えられ，インターネットに接続できなかったり，不審な Androd アプリケーションがダウンロードされるという情報が公開されています． 一部の情報では，Wi-Fi ルータの脆弱性が悪用された結果マルウェア感染し，DNS 情報が書き換えられたという見解がみられますが，本エントリの執筆時点，NICTER では，Wi-Fi ルータの DNS 情報がどのような方法で書き換えられたのか．また，Mirai 亜種等 IoT ボットの活動との関連性について，事実関係を把握していません． 一方で，DNS 情報が書き換えられた後に発生する事象については，いくつかの事実が判明
Android版KindleにおけるSSLサーバ証明書の検証不備の脆弱性CVE-2014-3908
本稿では、Android版KindleにおけるSSLサーバ証明書の検証不備の脆弱性CVE-2014-3908について、発見の経緯と脆弱性の詳細、起こり得る影響などについて報告します。 発見の経緯 奥一穂さんとfacebook上で会話していて、スマホアプリ等でSSLサーバ証明書の検証をする際に、コモンネームを検証していないアプリの可能性について示唆を受けました。その内容は、奥さんのブログ記事として以下にまとめられています。 Kazuho's Weblog: SSL/TLSライブラリの正しい使い方（もしくは、コモンネームの検証について） 詳しくは上記記事をお読みいただくとして、サーバ証明書の検証の要点としては以下となります。 証明書が信頼された認証局の発行したものであること 証明書の有効期限の範囲内であること サーバ証明書のコモンネームが接続しようとしているサーバと一致していること これらのう
[PDF] SELinux再入門 -基礎編-
FFRI,Inc. 1 Monthly Research SELinux 再入門 -基礎編- 株式会社ＦＦＲＩ http://www.ffri.jp Ver 2.00.01 FFRI,Inc. SELinux再入門のすすめ • 近年、仮想化やコンテナ、AndroidなどでSELinuxを使ったセキュリティ強化が 進んでいる • 一方、サーバ用途において、SELinuxを無言で無効化してきた技術者は数多 い – Web検索のレコメンドで一目瞭然である • 本資料は、最新のSELinux応用事例を理解するための準備資料としての活 用を想定 • なお次回以降、数回に渡り最新のSELinux応用事例を調査する予定 2 FFRI,Inc. 3 SELinux再入門 • SELinuxの概要 • SELinuxのアクセス制御モデル – Type Enforcement (TE) – Role-base
Androidにメモリ破損バグが発見されデータを全消去する極悪アプリの作成が可能
By Dick_Wu セキュリティリサーチャーのIbrahim Balicさんは、GoogleのAndroid OSにメモリをクラッシュさせる恐れのある脆弱性を発見しました。その後Trend MicroがBalicさんの発見した脆弱性を調査したところ、悪意あるハッカーによって、ユーザー自身がデバイスに保存されたデータを全消去してしまうようなアプリの作成が可能であることが判明しています。 Android Vulnerability affected Google Play Bouncer (Emulator) | Ibrahim BALİÇ http://ibrahimbalic.com/2014/android-vulnerability-affected-google-play-bouncer-emulator/ New Android Bug Causes Bricked Device
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
GitHub - pluja/awesome-privacy: Awesome Privacy - A curated list of services and alternatives that respect your privacy because PRIVACY MATTERS.
Rust in the Android platform
TechCrunch
QualcommのSnapdragonに400個超の脆弱性 ～悪用されればスマホのプライバシーが皆無に