*本記事は STORES Advent Calendar 2023 6日目の記事です こんにちは。セキュリティ本部のsohです。 現在、弊社ではスマホアプリ診断内製化の準備を進めています。 同じようにスマホアプリの脆弱性診断を内製化したい、というニーズがある会社は多く存在しますが、実際のところ、スマホアプリを対象とした脆弱性診断士の確保は困難であり、外部ベンダーの方にすべてお願いせざるを得ないケースも多いかと思います。 また、その情報の少なさから、スマホアプリ診断を実施したいと考えている開発者や脆弱性診断士にとっても、「何をやればいいのか」「何から始めればいいのか」がわからないものである場合は多いかと思います。 そこで、この記事では「スマホアプリ診断って実際何をしているのか」と疑問を持つ方をターゲットとして、一般的なスマホアプリ診断の検証要件や検証方法について解説します。 要件とガイドライ
中国で導入されている、AirDropの「すべての人」設定の10分間制限を、Appleは「iOS 16.2」で全ユーザーに拡大するようです。MacRumorsが、Apple Expanding 10-Minute 'Everyone' AirDrop Limit to All Users With iOS 16.2として伝えていました。 With the launch of iOS 16.2, Apple is expanding an AirDrop limitation that was introduced in China with the launch of iOS 16.1.1. Going forward, AirDrop will be primarily restricted to Contacts Only, and the option to turn on AirDr
iOS 16にはiPhoneに重要なセキュリティアップデートを自動的にインストールできる「緊急セキュリティ対応」機能が実装されています。詳細は以下から。 Appleは2022年06月に開催したWWDC22の中で、iOS 16のプレビューを行うとともに、iOS 16では重要なセキュリティアップデートを自動でインストールできる「緊急セキュリティ対応 (Rapid Security Response)」が利用可能になると発表しましたが、 現地時間2022年09月12日に正式リリースされたiOS 16では、この「緊急セキュリティ対応」用のオプションが設定アプリの[一般] → [ソフトウェア・アップデート] → [自動アップデート]に追加されています。 緊急セキュリティ対応のオプションはデフォルトで有効になっているため、エンドユーザーは特に操作することなく、iOS 16アップデート後にこの機能を利用
iOS 15、2段階認証のコード自動生成機能が内蔵されました #WWDC212021.06.08 05:5013,383 塚本直樹 もうグーグルに頼らない。 今回は内容盛りだくさんなWWDC21でしたが、そこでは発表されなかった機能もあります。たとえば、iOS 15に内蔵された2段階認証機能です。 現在インターネットでは安全性を確保するために、パスワード以外の2段階認証の利用が盛んになっています。そしてiOS 15ではこの2段階認証のためのコードを生成する機能が内蔵されたのです。 機能の利用は設定アプリの｢パスワード｣から利用できます。また、一度設定すれば、サイトにサインインした際には自動で認証コードが入力されます。 これまで2段階認証のコードは｢Google Authenticator｣のようなサードアプリを利用するのが一般的でしたが、iOS 15ならそのようなアプリをダウンロードしなく
カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル
Appleは新機能を追加するためのiOSのアップデートとセキュリティ関連の修正を行うアップデートを分離しようとしていることがiOS14.5のベータ版から判明しました。 ユーザーのメリットは大 AppleはiOS14.5の提供を間近に控えた先週、iOS14.4.1へのアップデートを実施しました。この更新ではセキュリティ関連の修正が行われたのですが、ユーザーはもうすぐiOS14.5が公開されると分かっていても安全にiPhoneを使うために更新作業をする必要がありました。多くのユーザーは面倒でもiOS14.4.1をインストールしたのですが、Appleはそう遠くない将来、このユーザーの手間を軽減する方法を導入するようです。 ネットメディア9to5MacがiOS14.5のベータ版のコードを解析した結果、Appleはセキュリティ関連のアップデートと新機能の追加・不具合の修正といったアップデートを分離し
PCなどに暗号化されていない状態のバックアップデータを狙うマルウェアが長期にわたって活動しており、iOSなどのモバイル端末のデータが盗まれてしまうという。 米セキュリティ企業のPalo Alto Networksは12月7日、モバイル端末のバックアップデータを標的にする「BackStab」攻撃に関する調査結果を発表した。BackStabは長年にわたって続いており、iOSやBlackBerryでの被害が確認されている。 同社によると、BackStab攻撃に使われる技術自体は7年以上前から存在し、法執行機関やサイバー攻撃者が利用してきたという。モバイル端末のバックアップは、USBなどを介して端末をPCやMacに接続し、データを保存する。しかし、古い方法ではバックアップされたデータが暗号化されず、そのままの状態で保存されてしまう。攻撃者はマルウェアを使って暗号化されていないバックアップデータを盗
米Palo Alto Networksは現地時間2015年10月4日、米AppleのiOSを狙った新たなマルウエア「YiSpecter」を検出したと発表した。脱獄デバイスと非脱獄デバイスの両方を攻撃する。 これまでの調査によると、YiSpecterは10カ月以上前から感染を広げ、主に中国本土と台湾のユーザーを攻撃している。 YiSpecterのコンポーネントは、エンタープライズ向けの証明書を使って署名されており、プライベートAPIを利用してマルウエア制御（C＆C）サーバーから不正な機能を取り込む。 YiSpecterはiOSデバイスに感染すると、任意のiOSアプリケーションをダウンロードする。既存のアプリケーションと入れ替え、ディスプレイ広告表示を乗っ取ったり、「Safari」ブラウザーの検索エンジンやブックマークを変更したり、開いているページを差し替えたり、端末情報をサーバーに送信したり
iOSアプリに混入したとして騒がれているXcodeGhostに関連するリンクをまとめます。 XcodeGhostとは何か 9月17日に中国のiOS開発者が発見したiOSアプリに混入するマルウェア。外部のサーバーへ情報送信を送信する機能が確認されている。 Appleのアプリストアで配信されている正規のアプリ(主に中国語圏のアプリ)がXcodeGhostの影響を受けることが確認されており、通常利用しているアプリがこの対象となる場合、利用者の情報が外部のサーバーへ送信される可能性がある。 解析記事 Xcode Ghostの解析記事は次の通り。 XCode编译器里有鬼 – XCodeGhost样本分析 (drops.wooyun.org) Malware XcodeGhost Infects 39 iOS Apps, Including WeChat, Affecting Hundreds of
The best of CES 2025Presenting our 12 finalists, plus the winner of our best in show award.
LINEにて、「line://msg/text/」で始まるURLが拡散されています。このURLは、「指定された文章を送信するためのURL」で、「LINEで送る」ボタンの中身として利用されているURLなのですが、このURLから送信に至るまでの画面遷移で、送信内容の確認画面が無い仕様のため、自分が何を送信するのかを確認できないまま送信してしまい、意図と反した投稿を行ってしまう危険性があります。 何を送信するのかが表示されないまま先に進む画面の途中で止める判断ができれば問題にはならないのですが、LINEのユーザー層と、実際送信してしまった人が多数見つかること、そして、「次こそ送信内容の確認画面が出るだろう」と考えて先に進む人（←以前の仕様では表示された）、などなどを考慮すると、今後悪用された場合に大きな危険を招きそうな仕様であると感じました。 今回ユーザーが意図せず送信してしまうのは「ずっと前か
「脱獄」端末を狙った被害は日本を含め18カ国に及ぶ。Appleアカウント情報などの盗難のほか、iPhoneを人質に取られて身代金を要求されたなどの事例も報告されている。 「脱獄」（Jailbreak）させたiOS端末に感染するマルウェアを使って、Appleアカウントのパスワードなどの情報22万5000件あまりが盗まれているのが見つかった。米Palo Alto Networksが8月30日のブログで伝えた。 それによると、このマルウェアは中国の「Cydia」経由で、「tweak」と呼ばれる脱獄版アプリを通じて流通していた。ユーザーから報告された不審な挙動について中国のアマチュアグループ「WeipTech」が調べたところ、有効なAppleアカウントのパスワードなど22万5000件あまりが保存されたサーバが見つかった。
How to watch Polaris Dawn astronauts attempt the first commercial spacewalk
ほぼ出オチに近いんですが。 これで発動する XSS を実際に見かけました。 iOS アプリと Web アプリが両方あるアプリである Web アプリがわにアカウントにひもづいているデバイスを一覧できる画面や投稿元デバイス名が表示される画面がある そこでデバイス名がエスケープされてない という事例です。一昔前は Rails や CakePHP やらがテンプレートエンジンで普通に HTML を出力すればエスケープしてくれたものですがが、最近は JavaScript で HTML を構築することが多く、手動でエスケープするような暗黒時代に戻ってしまっている感があります。 「たいていのところはちゃんとエスケープしてあるけど、↑のような意外なところが抜けてたりする事例があります。 iOS のデバイス名由来のものについては簡単に調べた結果 3 件ほど XSS を見かけたので、それについては報告はしておき
イタリアのスパイウェア販売会社、Hacking Teamのスパイウェアが、ジェイルブレイクされていないiPhoneにも感染することが確認された。7月22日にLookoutが発表した。 これまでHacking Team社のスパイウェアに感染するのはジェイルブレイクしたiOSデバイスに限定とされていた。しかしHacking Teamは数日前にAppleが無効にするまでAppleの企業向け証明書を所有しており、ジェイルブレイクしているかに関わらず、あらゆるWebブラウザ（ドライブバイ・ダウンロード）、フィッシングメール、その他の遠隔手段でもインストールが可能だったという。Hacking Teamは「Newsstand」アプリにスパイウェアを仕込み、この証明書を利用して多くのiOS端末にアプリを配布していたという。 Appleは悪用を防ぐため、Apple Store以外でアプリをインストールする際
研究者グループによれば、パスワード管理ツールの「Keychain」が破られたり、サンドボックスをかわされたりして、パスワードや重要情報が流出する恐れがあるという。 米AppleのOS XとiOSのアプリ間認証問題に起因する未解決の深刻な脆弱性について指摘した研究論文が公開された。パスワード管理ツールの「Keychain」が破られたり、サンドボックスをかわされたりして、パスワードや重要情報が流出する恐れがあるとしている。 論文は米インディアナ大学やジョージア工科大学、北京大学の研究者が発表した。それによると、OS XとiOSの体系的なセキュリティ分析を行った結果、深刻なセキュリティ問題が発覚。Apple Storesに承認され、サンドボックス化されている悪質アプリを使って、他のアプリの重要データに不正アクセスできてしまうことが分かった。 この問題は、OS Xで使われているパスワード管理ツール
iPhoneとiPadに搭載されているiOS 8には、標準アプリの「メール」がプリインストールされています。このメールアプリに重大なバグが発見され、悪用された場合にはiCloudのパスワードが漏れてしまう可能性が浮上しました。 jansoucek/iOS-Mail.app-inject-kit · GitHub https://github.com/jansoucek/iOS-Mail.app-inject-kit バグを発見したのはセキュリティ調査員のJan Soucek氏で、2015年1月にバグの詳細をAppleに報告したものの、その後公開されたiOS 8.1.2、および次のアップデートでもバグが修正されなかったため、検証用のコード(Proof-of-Concept)を公開。さらには、コードを使って実際にiOSからiCloudのパスワードを抜き取る様子を収めたムービーも公開しています。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
