LunascapeとSleipnirに報告した脆弱性の話(スマホアプリではとにかくHTTPSを使え2021)
2021_browser_mitm_vuln.md LunascapeとSleipnirに報告した脆弱性の話(スマホアプリではとにかくHTTPSを使え2021) 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 執筆時点で未修正の不具合や、過去に修正済みで運営元が開示していない脆弱性情報なども含みますが、公益を意図しています。 概要 2020年の年末に、スマホ向けのLunascapeとSleipnirに対して、以下の問題を脆弱性として報告した。 入力途中も含む検索キーワードが、平文で開発元または検索サービスのサーバーに送られる。 利用者が閲覧しようとしたURLが、平文で開発元または検索サービスのサーバーに送られる経路がある。(閲覧URL全部送られたりするわけではない) 2021年の1月に修正されて、修正内容
なぜChromeはURLを殺そうとするのか？ (Chrome Dev Summit 2019) - ぼちぼち日記
今年もChrome開発者の集まりChrome Dev Summit 2019 (CDS) がサンフランシスコで開催されました。 今回、私が Chrome Customer Advisory Board (CAB) に選出していただいたこともあり、CDSに初めて参加しました。 これは、CDS終了後のCAB meetingで頂いたChrome Dinosaurフィギュアです。ちなみにゲームはできません。 タイトルの「なぜChromeはURLを殺そうとするのか？」は、2日目Chrome Leadsのパネルセッションで司会のGooglerが、Chrome UX担当のProduct Managerに対して一番最初に投げかけた問いです。 PMは直ちに「そんなことはしない」と即答しました。しかしChromeは、URLの表示領域からHTTPSの緑色表示の廃止・EV表示場所の移動・wwwサブドメイン表示の削
Geolocation API removed from unsecured origins in Chrome 50 | Web Updates - Google Developers
Chrome has public intent to deprecate powerful features like geolocation on non-secure origins, and we hope that others will follow. Starting with Chrome 50, Chrome no longer supports obtaining the user's location using the HTML5 Geolocation API from pages delivered by non-secure connections. This means that the page that's making the Geolocation API call must be served from a secure context such
Google、iOS 9のセキュリティー機能を無効にする手順をアプリ開発者に紹介 | スラド アップル
iOS 9ではWebサービスを使用するアプリのセキュリティーを高めるためにApp Transport Security(ATS)と呼ばれる機能が導入されるのだが、Google Mobile Ads SDKを使用するiOSアプリ開発者に対し、GoogleがATSを無効化する手順を紹介したことで批判を受けている(Google — Ads Developer Blogの記事、 9to5Macの記事、 Re/codeの記事、 Motherboardの記事)。 ATSのデフォルトでは、アプリがWebサーバーに接続するにはHTTPSが必須となる。しかし、すべてのモバイル広告がHTTPS化されているわけでないので、一部の広告がアプリ内で表示されない可能性がある。Appleは「App Transport Security Technote」で例外のドメインを設定する手順を説明しているが、GoogleではH
Microsoft Bing、検索のSSL暗号化を実施へ、ユーザーが任意に選択可 ::SEM R (#SEMR)
Microsoft Bing、検索のSSL暗号化を実施へ、ユーザーが任意に選択可 マイクロソフトの検索エンジン・Bing もユーザーのプライバシー保護を目的に検索の暗号化を実施。検索キーワードはもちろん、参照元サイト（bing.com）データも相手先サイトに渡らない。 公開日時：2014年01月23日 09:00 米Microsoftの検索エンジン・Bning が検索利用者のプライバシー保護を目的に、検索のSSLによる暗号化を実施する。httpS://www.bing.com にアクセスすることで利用可能。 Google、Yahoo! は標準で全検索利用者の検索を暗号化するが、現時点で Bing は利用者側が暗号化を選択できる。httpS により暗号化された場合、参照元データはクリック先ページのウェブ解析ツールに渡らなくなる。 Google は検索クエリを "Not Provided" と
米Yahoo!、検索のSSL暗号化へ - yahoo.comからの来訪者を判別不能に ::SEM R (#SEMR)
米Yahoo!、検索のSSL暗号化へ - yahoo.comからの来訪者を判別不能に 米ヤフーもグーグルに続いて検索の暗号化実施。クリック先ページに一切の参照元データを渡さないため、マーケターは yahoo.com からの来訪者か判別することが不可能に。 公開日時：2014年01月23日 06:53 米Yahoo!がプライバシー保護を目的に、Google に続いて検索サービスのSSL暗号化を実施する。現時点で米国（yahoo.com）が対象。 米国政府によるインターネットデータの盗聴問題などを受け、米Yahoo!は自社サービス及びネットワーク上に流れるデータの第三者による傍受を阻止し、ユーザーのプライバシーを最優先で守るための方針を示していた。今回、その一貫として検索データを暗号化する。 検索の暗号化は Google が先行して既に実施済み。ただし米Yahoo!は、参照元データそのものをク
HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策
8月21～23日にパシフィコ横浜で開催された「CEDEC 2013」では、Webの世界に関するセッションも数多く行われた。本記事ではその中から、サイボウズ・ラボの竹迫良範氏による「HTML5のこれまでとこれから、最新技術の未来予測」と、セキュリティコミュニティでは大変著名なネットエージェント、長谷川陽介氏による「HTML5時代におけるセキュリティを意識した開発」の2つのセッションの様子をお送りしよう。 竹迫氏が「HTML」の周りの最新技術と、3つの未来予測を語る 未来予測その1：通信は暗号化が標準に――「スタバでドヤリング」から考える最新技術 竹迫氏はまず、スターバックスでスタイリッシュなMacBook Airをこれ見よがしに使う、「ドヤリング」という技術（？）について写真を出すところから講演を始めた。 実は、この「ドヤリング」、公衆無線LANを利用すると盗聴のリスクがあることが指摘されて
Firefox で Google 検索が暗号化されるようになります | Mozilla Japan ブログ
来月ベータ版となる Firefox の次々期バージョンで、Web 検索のセキュリティとプライバシーを強化する変更を行います。Firefox の検索バー、ロケーションバー、あるいはコンテキスト (右クリック) メニューから検索を実行したときに、そのリクエストを SSL 暗号化通信で Google へ送信するようにしたのです。皆さんが検索する方法は今までと何も変わりませんが、検索バーに表示される推測候補や検索結果ページは、(HTTPS による) 安全な接続を通じて提供されるようになります。この変更は、現在公開している プレベータ版 (Aurora) で実装済みです。 Google を使っている皆さんは、自分が何を検索しているかを Google に知られるということは容易に想像が付くでしょう。しかし、検索結果からそこに載っているサイトを訪れたときに、検索語がその外部サイトに伝わる場合があるという
高木浩光@自宅の日記 - ローソンと付き合うには友達を捨てる覚悟が必要
■ ローソンと付き合うには友達を捨てる覚悟が必要 当初3月末開始とされていた「LAWSON Wi-Fi」が、なぜか「当初の計画より事前テストに時間を要したため」として、遅れて4月6日から開始されたのだが、早速Twitterでこんな指摘が出ていた。 少なくともこういうのを「ログイン」と呼ぶのはやめて頂きたい。金融機関などでは、暗証番号に電話番号や誕生日を使うのをやめるよう利用者を啓発する活動にコストをかけてきたが、そうした労力を台無しにする。ローソンとしては、無料の無線LANを使わせるくらい、本人確認が甘くても自社の問題だから許されると思っているのだろうが、こういうやり方が社会に悪弊をもたらすことに気付いていないのか。 今回は、前回の日記で取り上げた「PASMOマイページ」の問題とは違って、「ログイン」で電話番号と誕生日を使用している。一般に、不正アクセス禁止法では、このような、IDと電話番
Google Sites: Sign-in
Not your computer? Use a private browsing window to sign in. Learn more about using Guest mode
イランからGoogleへのSSL通信が傍受されていた疑い。CAから発行された偽証明書が原因:Geekなぺーじ
多くのユーザがSSL通信(https)の中身を傍受されていた可能性があるようです。 今回、この問題が報告されたのはイラン国内からのGoogleへの通信を行った場合です。 約2ヶ月間にわたってイラン国内からのSSL通信で、検索結果、Gmailに含まれるメールの中身、その他情報が傍受されていたかも知れません。 EFF: Iranian Man-in-the-Middle Attack Against Google Demonstrates Dangerous Weakness of Certificate Authorities Google Online Security Blog: An update on attempted man-in-the-middle attacks 傍受の手法 本来、暗号化されたSSL通信の傍受は困難です。 今回利用された方法はMan-In-The-Middl
Googleがウェブ検索をSSL(HTTPS)で暗号化 — リファラーの取得ができなくなる!?
Googleは、ウェブ検索の通信を暗号化することを公式ブログでアナウンスしました。 ストリートビューの撮影の際にWi-Fi無線LANネットワークの通信内容を誤って取得してしまったこと（日本語解説記事）に端を発しています。 暗号化には標準となっているSSL通信が使われます。 現在はベータ版として、httpに”s”を付けたhttps://www.google.com/でテスト公開されています。 今のところウェブ検索だけの導入で、画像検索や地図検索はこれまでと同じ通常のHTTPでの通信のままです。 またユニバーサル検索からウェブ検索以外の検索に移動する場合も暗号化は適用されません。 ユーザー（ブラウザ）とGoogleの間での交わされるデータの送受信の内容もこれまでと変りなく、検索結果も同一です。 唯一違うのは通信が暗号化されており、第三者の傍受が不可能（不可能ではないけれど極めて困難）になるとい
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google、「Android P」の開発者向けプレビュー公開 ～屋内測位やHEIF対応、既定で平文HTTPをブロックなど
TechCrunch
米Yahoo!、データセンター間の全通信を暗号化、2014年第1四半期までに 
プライバシー保護のため、「www.google.com」でSSLがデフォルトに -INTERNET Watch