スマートフォンアプリのSSLとかの解説っぽいもの
ゆーごく @uu59 http://t.co/6TWeWOvv http://t.co/YdhYz0w0 消費電力がどうとか話が錯綜してるけど、要はスマホ上のtwitterアプリが平文通信＋信用できないwifiで接続してるとき傍受されうるけど平文かどうかユーザーにはわからんって話だろ ゆーごく @uu59 そこでユーザーの安全側に倒して、ユーザーに告知せずに平文で通信してるならユーザーを危険に晒しているとみなして脆弱性扱いしようという話であってルートCAとかMITMは話が飛んでる ゆーごく @uu59 んで悪意あるアプリ開発者であればSSL通信してると見せかけて（というか実際にSSLで通信して）おいて実際には不正な証明書を受け付けるような作りにしておけばいいわけだから、SSLを強制したところでセキュアとはいえないみたいなことを言ってる。
AndroidのSSLなんたらでのセキュリティの守備範囲
にーまる。 @typex20 徳丸さんが業務拡大につきこっち側に攻めてきている件。(^_-) / “徳丸浩の日記: スマートフォンアプリケーションでSSLを使わないのは脆弱性か” http://t.co/OHNtyFC3
スマートフォンアプリケーションでSSLを使わないのは脆弱性か
このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました（2月8日追記。講演者からの依頼によりセミナーのサイトへのリンクをもうけました）。この際に、スマートフォンアプリケーションの脅威に対する共通認識がまだないという課題を改めて感じました。その課題を痛感できたという点で、セミナーは私にとっては有益でした。 このため、当ブログではスマートフォンアプリケーションの話題をあまり取り上げていませんでしたが、今後は、とりあげようと思います。まずは、スマートフォンアプリケーションでは暗号化を必須とするべきかという話題です。この話題は、前記セミナーでもとりあげられていました。 暗号化の目的は何か まず、暗号化の必要性を論じるためには、暗号化の目的を明確にする必要があります。前記セミ
rooted な Android のセキュリティアプリはたぶんこれが良い。 - 新電波
Android はスパムの宝庫や－、みたいなことが最近言われてます。パーミッションに気をつけていればたいていはOKですが、たまに見るのを忘れてしまうこともあるかもしれません。そこで、じゃあアプリでパーミッション監視すればいいじゃん、というのが今回のアプリです。 SPAM対策としてパーミッションを気にするわけですが、特に気になるのが、ネットワーク接続・SMSの送信・連絡先へのアクセス・位置情報の取得です。これらのパーミッションを持ってるアプリを調べて、怪しげなパーミッションを許可しないようにしたいです。 そこで色々試してみて、LBE Privacy Guard がとてもいい感じでした。 LBE Privacy Guard – Android マーケット This application requires a ROOTed phone, please make sure your phone
IPAテクニカルウォッチ 『スマートフォンへの脅威と対策』に関するレポート：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、スマートフォンのうち「Android（アンドロイド） OS」を搭載したスマートフォン（アンドロイド端末）に対して、IPA独自でセキュリティ上の弱点（脆弱性）への対策状況を検査し、その結果に基づきアンドロイド端末の脆弱性対策の実情と課題の考察をまとめて、技術レポート（IPAテクニカルウォッチ 第3回）として公開しました。 スマートフォンは、従来の携帯電話と異なり、アプリケーションソフトをインストールすることにより、機能の追加や拡張を行える点がパソコンと類似しており、 “電話機能付きのパソコン” と表現しても過言ではありません。 米国Google（グーグル）社が提供するOS（基本ソフト）「アンドロイド」は、オープンソースソフトウェア(*1)の「Linux(*2)」などを基に開発され、世界各国で多数のメーカーに採用されています。スマー
Androidアプリから情報流出の恐れ、99.7％の端末に影響
Androidアプリケーションから個人情報が流出し、攻撃者に傍受されたり改ざんされたりする恐れがあるという。ドイツの研究者が発表した。 米GoogleがAndroid搭載端末で提供しているカレンダーアプリケーションや連絡先アプリケーションの情報が暗号化されないまま転送され、他人に情報を傍受されたり、改ざんされたりする恐れがあることが明らかになったと、ドイツの研究者が発表した。Androidを搭載したスマートフォンの99.7％がこの脆弱性の影響を受けるとしている。 ドイツのウルム大学の研究者が公開した情報によると、この脆弱性はGoogle CalendarやGoogle Contactsなど「ClientLogin」という認証プロトコルを使っているアプリケーションで、暗号化されないHTTPを介して認証用トークン（authToken）がやり取りされている問題に起因する。これは公衆無線LANを介
「Android」端末に不正アクセス許す恐れ--専門家は最新版への更新を推奨
ドイツの研究者チームが公開した新たな報告によると、市場に出ている「Android」搭載スマートフォンの多くは攻撃に対して脆弱で、暗号化されていないWi-Fiネットワークを介して他者からカレンダーや連絡先のデータへアクセスされる可能性があるという。 最新バージョンのAndroidでは問題が修正されているが、Android機器全体の99.7％は旧バージョンを搭載していると、研究者らは述べた。米国時間5月13日に公開されたレポート「飛び交うauthTokenの捕捉：GoogleのClientLoginプロトコルのセキュリティ問題」によると、攻撃者は、暗号化されていないWi-Fiホットスポットを介し、Android搭載機器がGoogleのサービスとやりとりする際に使用する認証トークン（authToken）を傍受することで、攻撃を実行する可能性があるという。 AndroidからPicasa Web
エフセキュアブログ : 消えそうで消えないAndroidマルウェアの登場か！？
消えそうで消えないAndroidマルウェアの登場か！？ 2011年03月05日01:30 ツイート hiroki_iwai オフィシャルコメント by：岩井 博樹 先日の記事にも取り上げられていますDroidDream（Rootcager）についてです。 記事にもあります通り、「rageagainstthecage」を利用しroot権限を奪取します。 その後にパッケージなどをダウンロードしたりします。詳細はこちら。 参考URL: 新たな Android の脅威による端末の root 権限の取得 Android Marketでマルウェア入りアプリケーションが配布されたことも驚きですが、マルウェアによるroot権限の奪取は、「ついに来たか！」といった印象を持ちました。 $ pwd $ SuperSolo/assets $ ls -l total 184 -rw-r--r-- 1 analy
AndroidアプリケーションのSSL通信をプロキシで解析する(1)
0x00. はじめに Androidアプリケーションの解析の際に、それがどのようなSSL通信を行っているかが重要となる場面がある。そのようなとき、Doormanのようなローカルプロキシでその通信をフックすることができれば目的が達成できる。 しかし通常の（PC上の）ウェブブラウザのSSL通信と同じように、Androidにも元々「信頼できるもの」として扱われるルート証明書群がインストールされており、これらの証明書を元にSSL通信が実施されてしまう。ただ単にローカルプロキシでSSL通信をフックしようとしても、当然「偽物の証明書である」としてエラーとなってしまうため、プロキシでのフックを実施するためには少し工夫が必要となる。いくつかの方法が考えられるが、このエントリではまず筆者が一番はじめに試した方法を紹介する。 0x01. 対象 まず、今回はURLConnectionクラスを使ったSSLのアクセ
Androidアプリケーションのリバースエンジニアリング
[PR]株式会社セキュアスカイ・テクノロジーのAndroidアプリケーション診断 結論を先に書くと、Androidアプリケーションのリバースエンジニアリングは非常に簡単である。理由は大きく2つあり、一つはそれがJavaアプリケーションであること、もうひとつはAndroidがオープンソースであることだ（ただしJNI等を使ってC++やCのコードなどを呼び出している場合には、下層のモジュールの解析は通常のCアプリケーション同様に面倒ではないかと考えられる）。 Androidアプリケーションは.apkという拡張子でファイル単体で配布されるので、まずそれを用意する。筆者はAppMonsterというツールを使っている。このツールだと簡単にSDカードにapkファイルを保存してくれる。このエントリでは例としてテスト用のアプリケーションであるandroid1.apkを使用する。 apkファイルはZIP形式の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JVNDB-2012-000014 - JVN iPedia - 脆弱性対策情報データベース
https://jp.techcrunch.com/2011/05/18/2011051799-percent-of-android-devices-are-vulnerable-to-password-theft/