カスタムURLスキームの乗っ取りとその対策

カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル

[ed_v3]

個人のブログなんだから最新じゃない情報のまとめ書いたってええんやで。

[Falky]

この話聞くたび、custom url schemeの仕様を設計したやつさすがにアホすぎちゃうかという気持ちになる。自由に宣言できるのに競合が考慮されてないって…

[nicht-sein]

ほへぇー参考になる / カスタムURLスキームの乗っ取りについては問題性が指摘されてた記憶があるけど、こうやって解決したんだ

[work996]

知らない情報がなくて良かった。こういうまとめはありがたい。

[hc0001]

custom:// のようなカスタム URL Scheme は任意のアプリがハンドリングできてしまうので、URL からアプリを起動させたい場合は HTTP URL Scheme を使って実装しなくてはならない。LINE が対応した話や iOS と Android 周辺のお話。

[efcl]

偽アプリによるURLスキーム上書きでの乗っ取り、HTTP URLスキームでの偽装防止について

[deep_one]

「ただし、同じカスタムURLスキームを宣言した複数のアプリをOSは一意に特定できない」なるほど、それは使ってはいけない。

[kita-tuba]

ありがた

[suzukiMY]

HTTP URLスキームによるディープリンク

[Nyoho]

“HTTP URLスキームによるディープリンクの機能を、Androidでは「Android アプリリンク」¹¹、iOSでは「ユニバーサルリンク」¹²という名称”

[peketamin]

感謝

[koogawa]

丁寧なまとめ

[blueeyedpenguin]

随分前の仕様更新だけど、ようやくLINEでも未対応OSが切り捨てられるようになった感じなのかな。

[delphinus35]

綺麗にまとめてある。確かに最近のSMSフィッシング詐欺でiOSでも偽アプリを無理矢理インストールさせるのも不可能ではないな。

[napsucks]

なるほど

[rjge]

”昨今の宅配便業者をかたるスミッシングの被害状況から察するに、不正アプリをインストールするよう被害者を誘導することは現実的に可能である” アプリ複数あるサービスとか不慣れな人つらそうだもんな…

[kanehama]

助かる

[tettekete37564]

某地銀アプリが通知タップすると別アプリに遷移しちゃう問題あって怖い

[wata88]

たまに被ったりデカい名前のやつがいてヤバい

[everybodyelse]

これ昔から言われてるよね。

[moromoro]

アプリ計測ツール使っててVerup対応が追いついてないなら危ないんでは

[gologius]

webからクライアントアプリ叩くような仕組みってセキュリティ的に怖いよね。使い方にもよるんだろうけど