暗証番号やパスコードは無駄？-押収されたスマホの中身は見られてしまうのか-｜弁護士髙野傑
現代社会において、スマートフォンは人の第二の脳とも呼べるほど、多種多様な情報を保存しています。今回は、警察などの捜査機関が、暗証番号によるロックを突破し、スマートフォンに保存された情報にアクセスする方法を解説します。 スマートフォンに保存された情報は、最も重要な証拠の一つ 犯罪の成否において、その人が行為時にどのように認識していたのかが重要な意味を持ちます。故意に犯罪を行ったのかという重要な問題です。人の心の中や思考を直接覗くことはできません。その人が何を意図して行動していたのかは、その人の行動や発言、状況等その他外部から観測可能な事実をもとに、推測していくことになります。 このような場面で最も重要な証拠となるのが、スマートフォンです。例えば、スマートフォンのメモ機能に行為時のことが日記として書かれているかもしれません。その時どう思ったか誰かにLINEをしているかもしれません。スマートフォ
iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices
iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices We present iLeakage, a transient execution side channel targeting the Safari web browser present on Macs, iPads and iPhones. iLeakage shows that the Spectre attack is still relevant and exploitable, even after nearly 6 years of effort to mitigate it since its discovery. We show how an attacker can induce Safari to ren
【コラム】スマートフォンに7年間ものOSアップデートは本当に必要なのか？ - はやぽんログ！
Google の最新スマートフォンPixel 8シリーズは7年間のOS アップデート、セキュリティパッチ提供を保証するという「長く使えるスマートフォン」のお手本のような構成となった。 その一方、ネット上では長く使えることを歓迎する声だけでなく、これを否定的に捉える意見も見かけた。今回はスマートフォンの長期のアップデートというものが本当に必要なのかといったところを考えてみよう。 Google Pixel 8が7年間のOSアップデートを提供したことが大きな話題に 7年のOSアップデートは必ずしも歓迎されない。理由は「ハードウェア寿命」「性能の陳腐化」「長期サポートによる値上げ」 スマートフォンへ7年間のOSアップデート。これからは社会的に求められる時代か Google Pixel 8が7年間のOSアップデートを提供したことが大きな話題に スマートフォンのOSアップデートについてはかねてから消費
旧型「iPhone」「iPad」向けにセキュリティ更新、悪用されている脆弱性を修正
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Appleは米国時間8月31日、「iPhone 5s」と「iPhone 6」「iPhone 6 Plus」「iPad Air」「iPad mini 2」「iPad mini 3」、そして「iPod touch」（第6世代）向けに「iOS 12.5.6」をリリースした。これは、「iOS 12」に存在する脆弱性に対処する重要なセキュリティアップデートだ。 iOS 12.5.6で対処されるのは、同社が8月中旬に「iOS 15.6.1」向けのアップデートで対処した2件の脆弱性のうちの1件であり、リモートコード実行（RCE）につながるものとなっている。 「iOS 12」に対するアップデートはかなり久しぶりだ。上記のモデル向けのアップデートが最後に
Apple、2ファクタ認証機能でフィッシング攻撃のSMS自動入力をブロック - iPhone Mania
Appleは、フィッシング攻撃の可能性のあるSMS経由で送信された2ファクタ認証コードの自動入力のブロックを開始し、SMSのメッセージの形式を変更しました。 フィッシングサイトでの自動入力をブロック Appleの2ファクタ認証コードの自動入力機能は、SMSで送られてくる認証コードを入力する手間が省ける便利な機能です。しかし、ユーザーが、攻撃者によって作成された偽サイトへのリンクをクリックすると、認証コードが自動で入力され、ユーザーがフィッシングの被害を受けてしまう可能性がありました。 Appleはこの問題に対処するため、偽サイトにおける自動入力をブロックするより安全な新しいフォーマットで認証コードをSMSで送信するよう企業に呼びかけています。 新しいフォーマットでは、Webサイトと2ファクタ認証コードを送信したドメインが一致した場合にのみ、認証コードの自動入力が行われるよう変更が加えられて
Appleの発表したPasskeys in iCloud KeychainはWebAuthnをどう変えるのか - r-weblife
おはようございます、ritouです。 先日のWWDC2021の "Move beyond passwords" というセッションにて発表された "Passkeys in iCloud Keychain" という仕組みについてどんなものかを紹介します。 developer.apple.com WebAuthn 数年前からパスワード認証を置き換えると言われ続けている認証技術の一つである "WebAuthn" (やFIDO)という技術をご存知でしょうか。(ご存知ない方は "WebAuthn builderscon" "WebAuthn droidkaigi" などで検索してみましょう) 今回の話をするにあたって、WebAuthnがどんなものかをある程度理解しておく必要があります。 公開鍵暗号の仕組みを利用 パスワード認証のようにユーザーとログイン対象のWebアプリケーションがパスワードを共有する
カスタムURLスキームの乗っ取りとその対策
カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル
SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
Microsoft Defender for Endpoint adds depth and breadth to threat defense across platforms
Update: Microsoft Defender for Endpoint mobile threat defense capabilities for iOS are in public preview as of October 1, 2020. We are excited to share with you the next steps in our journey to deliver industry leading endpoint security capabilities across all platforms. Rob Lefferts, Corporate Vice President, Microsoft 365 Security and Compliance, shared our commitment to build solutions that ena
実はiOSのWebView内のHTTPSリクエストは傍受できる(URLProtocol) - Qiita
Chromeの開発ツールにはNetworkという項目があり，ブラウザでサイトにアクセスしたときのHTTP/HTTPSのアクセスのログを見ることができます．APIの動作確認などできるので，Web開発者なら重宝している機能の一つだと思います． とても便利な機能なので，iOSのWKWebViewでも使えたらいいなと思い開発しました． 下記の動画が作ったサンプルなのですが，アプリ内のWKWebViewでGithubにアクセスしたときのHTTPSリクエストすべてをTableViewに表示できるようになっています． こちらが今回作成したサンプルのレポジトリです． https://github.com/tommy19970714/WebKitURLProtocol これはログを表示するだけですが，この技術を応用する例としては，WKWebView上で開いているyahooのホームページ内にある画像をすべて猫
iPhoneのメールアプリの脆弱性を狙うゼロクリック攻撃についてまとめてみた - piyolog
2020年4月22日、iPhoneの標準メールアプリに脆弱性が発見され、さらに悪用した標的型攻撃が既に発生していたとして北米のサイバーセキュリティ企業ZecOpsが調査結果を公開しました。その後、AppleはZecOpsが報告した悪用の事実はないとして一部否定する見解を示しています。(4/26 追記)ここではこの脆弱性に関連する情報をまとめます。 何が見つかったの？ 影響を受けるiOSの標準メールアプリ iPhoneやiPadが影響を受ける脆弱性が報告された。脆弱性が確認されたのは標準のメールアプリ(Mobilemail/Maild)。 脆弱性悪用によりメール内容の流出や変更、削除が行われる恐れがある。また他の脆弱性を組み合わせた攻撃によりデバイスをのっとられる可能性がある。 4月23日時点でゼロデイ（修正方法がない）状態。13.4.5で修正見込み。（ZecOpsが13.4.5β版で修正確
iOSのポップアップを偽装し、Apple IDやそのパスワードを盗み取るPoCが公開される。
iOSのポップアップを偽装し、Apple IDやそのパスワードを盗み取るPoCが公開されています。詳細は以下から。 iOSを利用しているとiTunes Storeやアプリ内課金などを行うプロセスでApple IDのパスワード入力を求められると思いますが、悪意のある攻撃者がこのポップアップを偽装し簡単にApple IDのパスワードをユーザーから盗み出すコンセプト(以下、PoC:Proof of Concept)をGoogleのエンジニアFelix Krauseさんが公開し、話題になっています。 📝 One of these is Apple asking you for your password and the other one is a phishing popup that steals your password https://t.co/PdOJcthqL7 pic.twitt
Apple、macOS 10.13 High SierraやiOS 11ではSHA-1証明書のTLS接続を利用したアプリなども各サービスへ接続できなくなると発表。
AppleがmacOS 10.13 High SierraやiOS 11では、SHA-1署名証明書のTLS接続を利用したアプリやメール、カレンダーなどのサービスも各サービスのサーバーへ接続できなくなると発表しています。詳細は以下から。 Appleは2017年1月、他のブラウザベンダーと同様にSafariおよびWebkitでTLS接続でSHA-1署名の証明書を利用しているWebサイトやサーバーへアクセスするとブラウザに信頼できないサイトという警告を表示し、4月のセキュリティアップデートではSafari/WebKitでSHA-1証明書のサポートを終了したと発表しましたが、その他のTLS接続は2017年後半までSHA-1証明書をサポートすると発表していました。 これに対しAppleは一昨日(USは08月09日)サポートドキュメントをアップデートし、SHA-1署名証明書のTLS接続を行うサーバーを
TechCrunch | Startup and Technology News
Holy procrastination, startup founders! Tomorrow’s your last chance to apply to the Startup Battlefield 200 at TechCrunch Disrupt 2024. Your last chance for a shot to stand on the Disrupt…
iOSを狙う新マルウェア「AceDeceiver」を確認--ジェイルブレイクされていない端末にも感染
「iPhone」と「iPad」を狙った新種のマルウェアによって、膨大な数の端末が大きな危険にさらされている。ユーザーに気づかれることなく、ジェイルブレイクされていない端末にも感染するからだ。 セキュリティ企業Palo Alto Networksが「AceDeceiver」と呼ぶこのトロイの木馬は、エンタープライズ証明書なしで「iOS」搭載端末に自らをインストールする。 Palo Alto Networksのセキュリティ研究者であるClaud Xiao氏は米国時間3月16日、「AceDeceiverは、Appleのデジタル著作権管理（Digital Rights Management：DRM）機構『FairPlay』の設計上の脆弱性を利用して、iOS端末がジェイルブレイクされているか否かにかかわらず悪質なアプリを端末にインストールする。この手のiOS向けマルウェアを見るのは初めて」とブログに
iOS9からWKWebViewのSSL/TLS接続はコードで制御する - Qiita
本記事はベータ版について書かれています。 一般に流通しているiOS製品(iPad / iPhone / iPod touch)には該当しません。 また、将来下記の内容がiOSに反映されるとは限りません。 SSL/TLS認証でWKNavigationDelegateが呼ばれるように iOS9からWKWebViewでSSL/TLS接続をする時に WKNavigationDelegate の - webView:didReceiveAuthenticationChallenge:completionHandler:が呼ばれるようになるようです。 ここで、SSL/TLS接続（[[[challenge protectionSpace] authenticationMethod] isEqualToString:NSURLAuthenticationMethodServerTrust]）のケースを正し
iOS9のWebviewでNSURLErrorDomainとなる場合の対処法(ATS) - Qiita
All connections using the NSURLConnection, CFURL, or NSURLSession APIs use App Transport Security default behavior in apps built for iOS 9.0 or later, and OS X 10.11 or later. Connections that do not follow the requirements will fail. App Transport Security Technote - Apple Developer これによりATSが適用されるのはiOS9.0向けにビルドしたアプリ(Xcode7.0、Base SDK9.0以降)となり、デフォルトの挙動は変わらずにONとなっています。 なので、Base SDK9.0未満でのビルドの場合はATS
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
Engadget | Technology News & Reviews
イノベーションを止めずに、端末管理と運用を行う方法 / builderscon tokyo 2018
