モバイルアプリに対する脅威にはどのようなものがあるか
はじめに 2007年に初代のiPhone、その翌年の2008年に世界初のAndroid搭載スマートフォンが発売されてからモバイルデバイスは爆発的にその台数を増やし、いまでは持っていて当たり前と言えるほどのツールとして普及しました。モバイルデバイスはその携帯性の良さから日常の様々なシチューションで利用されますが、それに伴って多くの脅威にもさらされています。しかし、その脅威についての理解はさほど広まっていないように感じます。 私はこれまでモバイルアプリの脆弱性診断を数年経験してきましたが、検出した脆弱性の報告を受けても脅威やリスクの分析を行わず、"とりあえず指摘されたから改修する"というスタンスのクライアントも多くいらっしゃいます。それ自体を否定するつもりはありませんが、あるべき姿としてはやはり、どのような脅威が存在し、どのような条件が揃った際に脆弱性を悪用されリスクが生じるのかを理解したうえ
グーグル、Rust採用で「Android」のメモリーに関わる脆弱性が激減
メモリー関連の不具合を減らすために、「Android」の新しいコードにRustを使用するというGoogleの判断は、成果を挙げているようだ。この数年で、Androidのメモリー安全性関連の脆弱性は半分以下になった。この成果が達成された時期は、GoogleがCやC++からメモリー安全性の高いプログラミング言語であるRustに切り替えた時期と一致する。 Androidに発見されたセキュリティホールの中で、最も件数が多かったカテゴリーがメモリー安全性関連の脆弱性でなかったのは2022年が初めであり、Googleは1年前に、「Android Open Source Project（AOSP）」で新しいコードのデフォルト言語をRustに切り替えている。 GoogleがAndroidに使用しているほかのメモリー安全性を備えた言語には、JavaやJava互換のKotlinがある。AOSPで主流の言語はま
iOS/Android セキュリティガイドライン - Qiita
必須: 基本的に対応が必要。何らかの要因で対応できない場合は関係者への同意をとる。 できれば：状況的に困難でなければなるべく対応する。 基本対応なし：特別な要件がなければ対応しない。 直近修正履歴(2018/11/21) [OS共通] ログ出力の対策にproguardによる方法を追記 [iOS] 通信データのキャッシュの対策に一部問題があったため修正 [OS共通] 通信の暗号化 対応要否：必須 リスクの詳細 HTTPで通信を行うと通信データが平文でネットワークに流れるため、情報漏洩の危険性がある。 対策 通信を行う場合はHTTPS(SSL/TLS)通信を利用する [OS共通] SSL証明書のチェック 対応要否：必須 リスクの詳細 通信やWebViewで行われるSSL証明書の正当性検証を無効化すると、ネットワーク管理者などにより通信経路上のデータ改竄、傍受が可能になる。 対策 試験環境で証明
AndroidとiOSをターゲットにする新たな商用スパイウェア「Hermit」についてGoogleが詳しく説明、iOS版には2つのゼロデイを含む6つのエクスプロイトあり
GoogleとそのセキュリティチームであるProject Zeroが、AndroidとiOSをターゲットとする商用スパイウェア「Hermit」についての詳細なレポートを報告しています。Hermitは感染したデバイスの周囲の音声を録音したり、写真・メッセージ・電子メール・通話履歴・デバイスの正確な位置情報を収集したりするとのことです。 Spyware vendor targets users in Italy and Kazakhstan https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/ Project Zero https://googleprojectzero.blogspot.com/2022/06/curious-case-ca
Androidの11月月例セキュリティ更新は危険度最高5件含む33件、Pixelでは多数のバグ修正も
米Googleは11月2日（現地時間）、AndroidおよびPixelの月例セキュリティ情報の11月版を公開し、パッチの配信を開始した。 Androidのセキュリティ更新では、重要度が最も高い「Critical」5件を含む33件の脆弱性に対処した。 Pixel端末固有の月例情報は、4件の「Moderate」な脆弱性に対処した他、12件の機能パッチ（バグ修正および改善）が行われた。今月から最新モデル「Pixel 4a 5G」と「Pixel 5」も対象になっている。 最新モデルでは、「Android Auto」モードで着信ができなかったバグや、屋外での明るさの自動調節がうまくいかないバグ、サイレントモードで大切な人からの通知も受け取れなくなってしまうバグ（これはPixel 3以降のすべてのモデルが対象）などが修正される。 Pixelシリーズの場合は［設定］→［システム］→［詳細設定］→［システ
Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる | おそらくはそれさえも平凡な日々
追記: その後の動きについて書きました → Let's Encryptの証明書切替周りその後 このサイトはLet's Encryptで証明書発行しているのでタイトルの件が気になったのだが、どうもあまり話題になっていない。恥ずかしながらSSL周り詳しいわけじゃないので、誤っているかも知れない。識者の意見を求む。 Let's Encryptが使われているサイトがAndroid7.1以前のバージョンで今年の9月29日以降見られなくなる可能性がある 延命策は用意されそうだが、それも来年の9月29日まで Let's Encryptのルート証明書切り替え計画に起因している Let's Encryptのルート証明書の変更 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしている。現在は、IdenTrustのルート証明書(DST
100万超のGoogleアカウントが感染!?Gooliganマルウェア - iPhone Mania
Android端末をターゲットとしたマルウェア「Gooligan」が猛威をふるっています。Android端末経由で侵入し、すでに100万以上のGoogleアカウントが感染している模様です。 過去最高の感染数!! Check Pointの調べによると、GooliganはAndroidマルウェアで、昨年同社がSnapPeaアプリで発見したものの新たな異種です。すでに100万以上のGoogleアカウントが感染、さらに毎日13,000台以上の端末が新たに感染しており、感染アカウントの数は過去最高にのぼるとCheck Pointが警告しています。 感染している可能性があるのは、Android 4（Jelly Bean、KitKat）および5（Lollipop）を搭載した端末で、これらは現在市場を出回っているものの74％以上を占めています。Check Pointによれば57％はアジアのユーザーが使用し
Androidのファームウェアに認証をバイパスしてroot権限を取得可能なバックドアの存在が判明
by Calvin Wray セキュリティ専門家のジョン・ソーヤー氏が、Foxconn(鴻海)製のAndroidのファームウェアにブートローダーのバックドアがあり、認証を回避して端末の機能にアクセス可能な状態であることを指摘しています。 Pork Explosion Unleashed – BBQ and 0days – Thought on BBQ from a Security Researcher or thoughts on InfoSec from a Pit Master? http://bbqand0days.com/Pork-Explosion-Unleashed/ Android Devices That Contain Foxconn Firmware May Have a Secret Backdoor http://news.softpedia.com/news/b
画像を受信するだけでハッキング被害に 恐怖のウィルスがAndroidに拡散 | Forbes JAPAN 公式サイト（フォーブス ジャパン）
グーグルは9月6日、最新のAndroidセキュリティパッチを公開。9億台のデバイスに影響を与えると懸念されたQuadrooterバグと呼ばれる脆弱性に対処した。 しかし、ここで注目すべきは今回のパッチがもう一つの前代未聞の、深刻な脆弱性に関する対応を果たしたことだ。その脆弱性とは、一見何の変哲も無い画像ファイルを端末に表示するだけでハッキング被害に遭うというもの。SNSやチャットに表示された画像を見るだけで、ハッカーに端末を乗っ取られたり、端末が文鎮化してしまう危険を引き起こす。 「この脅威は画像のExifデータに潜み拡散されている」とセキュリティ企業、SentinelOneの担当者、Tim Strazzereは説明した。Gmailやグーグルチャットによって画像ファイルが開かれると、端末をクラッシュさせたり、ユーザーに気づかれずに端末をリモートで動作させることが可能になるという。 「メッセ
Androidアプリの多くにSSLセキュリティ脆弱性 - MITM攻撃が可能な状態
FireEyeは8月20日(米国時間)、「SSL Vulnerabilities: Who listens when Android applications talk?｜FireEye Blog」において、人気のあるAndroidアプリ1,000個に関して調査を実施したところ、そのうち約68%にSSL関連の何らかのセキュリティ脆弱性が存在していたと伝えた。これらセキュリティ脆弱性を利用されるとMan-in-the-Middle攻撃(MITM)を受ける危険性があるとされている。 アプリの中には機能や利便性を優先させるためにホスト名のチェックを無効にしているものがあったりSSL関連のエラーを無視しているものがあったと説明がある。Man-in-the-Middle攻撃を受けると、攻撃者は通信内容を傍受することができるほか、接続先をほかのサイトへ変更するといったことができる。 記事ではこうした問
高額な課金SMSを勝手に送信するアプリがGoogle Playで見つかる、ダウンロード件数は100万超
高額な課金SMSを勝手に送信するアプリがGoogle Playで見つかる、ダウンロード件数は100万超 Google Playでダウンロード件数が100万を超えるアプリ「KK Tuneup Master」に危険性があるとDoctor Web Pacificが伝えている。 そのアプリは、「アプリケーションマネージャとして動作し（プログラムをインストール・アンインストールする、バックアップを作成するなど）、メモリをクリアしたり、インターネットトラフィックを監視したりすることができる」のが特徴。 そして「KK Tuneup Master」では、ユーザーに気づかれずに不正なアプリケーションをダウンロードしたり、高額な課金SMSを送信するなどの動作が実行可能だという。 それらの動作の実行には複数の疑わしいサービスが使用され、それらのサービスはプログラムが実行されると同時に起動し、そのうちの1つはリモ
やっぱ信用ならねぇ 不審なアクセスをするBaiduと、すっとぼけるSimeji公式垢 クラウド変換データも送信？
TOP Security やっぱ信用ならねぇ 不審なアクセスをするBaiduと、すっとぼけるSimeji公式垢 クラウド変換データも送信？ 「みんなの顔文字辞典」や私も愛用している「緊急地震速報 by Extension」などのChrome拡張を開発していらっしゃる @mitsuaki_iさんがBaiduからの大量アクセスに対し、以下のような問い合わせをメンションで行っていました。 .@Simeji_jp 昨日19時頃バイドゥのIPアドレスから短時間のうちに30万回を超える不審なアクセスが弊社のサービスにありました。繋がりづらくなり利用者の方に大きな迷惑がかかりました。DoS攻撃として被害届を出すことも検討してます。アクセスの意図など早急に説明をお願いします — Mitsuaki Ishimoto (@mitsuaki_i) April 10, 2014 「バイドゥのIPアドレスから短時間
「AndroidはiPhoneよりも安全性が高い」とGoogleの会長が発言
By Derek Petersen 2013年10月6日からオーランドで開催されているGartner Symposium/ITxpo 2013に出席したGoogleのエリック・シュミット会長が、インタビュー中に「AndroidはiPhoneよりも安全性が高い」と発言しました。 Eric Schmidt, Executive Chariman Google at Gartner Symposium/ITxpo 2013 in Orlando - YouTube Google's Schmidt: Android more secure than iPhone | ZDNet http://www.zdnet.com/googles-schmidt-android-more-secure-than-iphone-7000021670/ インタビュアーを務めるGartnerのアナリストDavid
怪しい通信をカット！ 初心者大歓迎のセキュリティアプリ『NoRootファイアウォール』 | ライフハッカー・ジャパン
Android：かなりの安心感！ 『NoRootファイアウォール』は、初心者にも安心してオススメできるセキュリティアプリですよ。 まずは、セキュリティのおさらいを スマホやPCのセキュリティのこととか、よくわからないという人へ。「ウィルス」というのは、他にもいくつかある悪いプログラムの一種のことで、それらを総称して「マルウェア」と呼ぶのです。 現在、危険度が高いとされる「マルウェア」は、「ウィルス」「トロイの木馬」といった色々なプログラムを複合的に組み合わせてあるものが一般的です。 一昔前までは、PCなどを起動不能にさせてしまうとか、イタズラ目的のものが多かったのですが、現在は個人情報を抜き取ってどこかに売りつけるといった実利を狙ったものが多くなってきています。 具体的には、メールアドレス、電話番号、氏名などの情報が狙われることが多く、最悪の場合にはクレジットカード番号と、そのセキュリティ
高木浩光＠自宅の日記 - スパイウェア「app.tv」に係るミログ社の大嘘
■ スパイウェア「app.tv」に係るミログ社の大嘘 株式会社ミログが9月27日に提供開始した「AppLog」がスパイウェアまがいであるとして、朝日新聞10月5日朝刊に以下の記事が掲載された。 アプリ利用時間や回数丸わかり「アップログ」に批判, 朝日新聞2011年10月5日朝刊 AppLog: insidious spyware rolled out in Japan by Milog, Inc. *1, The Asahi Shimbun, 2011年10月5日 スマートフォンの利用者がどんなアプリ（ソフト）をいつ、何回使ったかを記録して好みを分析し、興味を引きそうな広告を配信する。そんなプログラムが現れ、インターネット上で批判を集めている。プログラムは電話帳など無関係に見えるアプリに組み込まれ、アプリ利用者への説明が十分ではないからだ。（略） 問題視されているのは、利用者に存在が見えに
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Androidに致命的な脆弱性、Bluetooth経由でリモートからコードを実行されるおそれ／2023年6月のAndroidセキュリティ更新がリリース
Androidスマホを誰でもアンロックできる脆弱性を発見！ 今すぐセキュリティアップデートを | ライフハッカー・ジャパン
Engadget | Technology News & Reviews
ウイルス対策商売がどうやらご臨終らしい件(山本一郎) - 個人 - Yahoo!ニュース
スマホのセキュリティ対策はどんどんギーク化していきそうでちょっと不安です(山本一郎) - 個人 - Yahoo!ニュース