このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 米UCバークレーや米カーネギーメロン大学などに所属する研究者らが発表した論文「Pixnapping: Bringing Pixel Stealing out of the Stone Age」は、Androidデバイスにおける新たな脅威として、画面上のピクセル情報を盗み取る攻撃手法「Pixnapping」を提案した研究報告だ。 この攻撃は、Androidの基本的な機能を巧妙に悪用することで成り立っている。Androidでは、アプリ同士が「インテント」という仕組みを使って連携できる。攻撃者は、この正規の機能を使って標的となるアプリを起動し、その上に透明ま

カスタムURLスキームの乗っ取りとその対策 2021年5月17日 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイルOS

3rdに引っ越しました。 2010/12/31 以前＆2023/1/1 以降の記事を開くと５秒後にリダイレクトされます。 普段の日記は あっち[http://thyrving.livedoor.biz/] こちらには技術関係のちょっとマニアックな記事やニュースを載せます。 Windows2000ネタ中心に毎日更新。

米GoogleでAndroidセキュリティ担当リードエンジニアを務めるエイドリアン・ラドウィッグ氏は1月24日（現地時間）、旧バージョンのAndroidについて、同社が脆弱性を修正するパッチの提供を打ち切ったという情報について説明した。この情報は12日、Rapid7の研究者であるトッド・ビアズリー氏がブログで伝えたものだ。 ビアズリー氏は、Googleに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4（コードネーム：KitKat）よりも前のバージョンであれば、我々は一般的に、自らパッチを開発しない。4.4より前のバージョンに影響する報告で、パッチを伴わないものについては、OEMに通知する以外の対応はできない」という返事を受けたという。 Google自身が公開している統計によると、1月5日の時点で

Rapid7の研究者によると、GoogleはAndroid 4.3（Jelly Bean）までのバージョンについて、WebViewの脆弱性修正パッチの提供を打ち切った。 世界でまだ9億台あまりの端末に搭載されている旧バージョンのAndroidについて、米Googleが脆弱性を修正するパッチの提供を打ち切っていたことが分かったという。脆弱性検証ツール「Metasploit」を手掛けるRapid7の研究者が1月12日のブログで伝えた。 それによると、Googleは最近まで、Android 4.3（Jelly Bean）の脆弱性について報告を受けると迅速に対応していた。ところが、このほど新たに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4よりも前のバージョンであれば、我々は一般的に、自らパッチを開発

Lookoutによれば、AOSP版ブラウザに存在する同一生成元ポリシー回避の脆弱性の影響は日本のユーザーが最も多く受けるという。 Android 4.3以前に搭載されているAOSP（Android Open Source Project）版ブラウザに同一生成元ポリシー回避の脆弱性が発覚した問題で、米モバイルセキュリティ会社のLookoutは、日本のユーザーが脆弱性の影響を最も多く受けるとの調査結果を公開した。 この脆弱性は9月に報告されたもの。悪用された場合、攻撃者が不正なJavaScriptを使ってセキュリティ対策の同一生成元ポリシーを迂回し、任意のWebサイトを経由して他のWebページの内容を盗聴するなどの恐れがある。 Lookoutによれば、同社ユーザーの約45％が脆弱性のあるバージョンのAOSPブラウザをインストールしており、国別では日本が最も多い81％を占めるという。以下はスペイ

AmazonやeBay、Craigslistといった、ユーザー同士でアイテムの売買を行えるサイトでは毎日多くの製品が取引されています。その中でも最も頻繁に取引されているアイテムの1つが中古スマートフォンで、アンチウイルスソフトを販売するアバストの調べでは毎日8万人のユーザーが、不要になったスマートフォンを他のユーザーに売却しようと、セールリストに登録しているそうです。高値で取引きされる中古スマートフォンは売却するユーザーにとって魅力的なアイテムですが、アバストが実際に中古スマートフォンを購入して検査したところ、多くのスマートフォンが個人情報をいくらでも抜き出せる状態でした。 avast! blog » Tens of thousands of Americans sell themselves online every day http://blog.avast.com/2014/07/0

セキュリティ機能をうたって新着有料アプリのランキングでトップに浮上していたアプリが、何の機能も持たない詐欺アプリだったことが分かった。 米Googleのアプリ配信サービス「Google Play」でセキュリティ対策アプリとして売り出され、トップ人気を獲得していたアプリが、実は何の機能も持たない詐欺アプリだったことが分かったという。Android関連情報サイトの米Android Policeが4月6日に伝えた。 それによると、問題のアプリ「Virus Shield」は1週間ほど前から3.99ドルで売り出された。「有害アプリのインストール防止」「アプリやファイルをリアルタイムでスキャン」「個人情報の保護」などの機能をうたい、星4.7の高い評価を獲得。米国のPlay Storeの新着有料アプリのランキングでトップに浮上し、ダウンロード数は1万を突破していたという。 ところがAndroid Pol

「セキュリティソフトをインストールしておくこと。アプリは信頼できるマーケットからダウンロードすること。OSは最新のものにバージョンアップしておくこと」――。NTTドコモの柳澤隆治セキュリティ推進担当部長は、スマートフォンのセキュリティ対策で「基本的にやっておくべきこと」として、以上の3つのポイントを挙げた。店頭で購入可能な製品をチェックAndroid（アンドロイド）スマートフォンの増加に伴

「LINE」など人気アプリから考える、スマホセキュリティ最新事情：「iPhoneやめました」のその後（1/4 ページ） 先日、美容院で髪を切っていたときの話。手に二つ折りケータイを持って操作していた筆者に、シャンプー係のお兄さんはこう話しかけた。「最近、ガラケーの人って珍しくありません？　吉岡さんはスマホにしないんですか？」 “ガラケー”という俗称もすっかり一般化したな、と内心苦笑しながら「スマートフォンも持ってますよ。私、このケータイがメインですけど、もう1台、Wi-FiルーターにもなるAndroid端末も使ってるんです。小さくて軽いし、片手で使えるしいいですよ」と答えると、彼はかなり興味を引かれたようだった。「へぇ！　そんなのがあるんですね。僕、前はガラケーとスマホと2台持ちだったんですけど、もったいないかなと思って今は1台にしてるんですよ。重いし。でもよく考えると、1台にしてもあまり