ラベル セキュリティ の投稿を表示しています。 すべての投稿を表示
ラベル セキュリティ の投稿を表示しています。 すべての投稿を表示

2021年4月12日月曜日

不正使用されたパスワードを変更してください

Google から以下のメッセージが届きました。
「不正使用されたパスワードを変更してください」

ウェブ上であなたのパスワードの一部が検出されました。そのパスワードを見つけた人は誰でも、あなたのアカウントにアクセスできます。
Google アカウントはまだ安全ですが、この漏洩はウェブ上のどこか別の場所で発生したものです。今すぐパスワード マネージャーを使用して、保存したパスワードを保護してください。

状況

文章通りパスワードの一部がネット上に出回ったしまったようです。

 パスワードの語頭から数文字を幾つかのサイトで共通使用していたためです。 

 段階

 このメッセージには段階があり、パスワードの文字が全て漏洩した場合は以下です。

>パスワードの確認 サイトまたはアプリでのデータ侵害により、パスワード情報が漏洩しました。保存したパスワードをすぐに確認することをおすすめします。 

緊急性が高いほど画像の星の数が増えます。

FBでの大量情報漏洩後なのでフェイスブックを利用している場合は特に注意が必要です。

対策

一部の流出であってもパスワードを変更することをおすすめします。



2019年9月19日木曜日

[確認済の注文] : Apple ID からの支払い領収書

最近アップルを装ったメールがよく来ます。メールアドレスを見ればわかりますが、アップルからのメールがGメールだったりします。

本物Appleからのメールアドレス

Apple <no_reply@email.apple.com>

フィッシング詐欺の件名

・[確認済の注文] : Apple ID からの支払い領収書
・【警報】 あなたのAppleIDはリセットされ、一時的にロックされています。

フィッシングサイトを進むとAppleIDとパスワードを入力させようとしてきます。
本物そっくりなメールですが、送信元アドレスを確認すればある程度は安全です。
アドレス偽装も不可能ではありませんが、基本的にサーバーで弾いてくれると思います。

2019年6月2日日曜日

Googleの検索結果を連続取得する際の制限

Googleの検索結果をDBに取り込むプログラムを実行したところ。
1分間に60アクセス以上連続で行うと一時的にブロックされてしまう。
プロバイダの制限なのかGoogleのブロックなのかは不明。
画像検索も同様に制限がかかる。

原因

多分プロバイダが制限をかけている

解決方法


  • ブロックされた際は一分ほどアクセスを停止させる
  • アクセス頻度を下げる。(1アクセス1秒とか)

2014年6月6日金曜日

HotMailのセキュリティ

Microsoftのセキュリティ情報の変更ができなくなりました。

まだ準備ができていません
30 日間の待機期間は 2014/X/X に終了します。それまでは、元のセキュリティ情報が見つからない限りアカウントにはサインインできません。
メールの確認
XXX@co.jp宛てにお送りしたメール内の指示に従って、セキュリティ情報の置き換えを続けてください。メールに記載されているリンクの有効期限はもうすぐ切れるため、この操作はすぐに行ってください。

電話番号を登録するしかないようです。

2014年4月9日水曜日

ウインドウズXPのサポート終了

ウインドウズXPとオフィス2003のサポートが終了しました。

サポート終了後にOSの換装や買い替えを行うお客さんは結構多いです。

サポートが終了
最新のパッケージ版のWindowsが1.2万円ほどで買えるのでパソコンのスペックに応じてOSの換装や買い替えを提案しています。

問題はオフィスです。パッケージ版のオフィスは2.5万円もします。外国版だと1万円くらいで変えるのに、MSは日本対してぼったくってます。※日本語バッチを作れば安上がりか

パッケージ版の利点を知らない方は、OS、Office入りの4~5万円くらいのパソコンを買うほうがお得感があるかもしれません。

サポートが終了しても気にしない方もたくさんいるようです。
何故サポートが切れると危険かと問われると「ハッカーが本気で攻撃をしてくるかもしれない」としか答えられません。

サポートが切れるとXPのセキュリティーホールが発見、公開されても修正されません。
XPとVISTA以降のOSは構造が違うので2Kの時のようにサポートOSのバッチを当てることも無理だと思います。オフィスのサポートはあまり気にしなくてもいい気がします。

デルジャンクパソコンリカバリーディスク


現在使用している3台のPCはすべてデル製のビスタです。発売当初は重くて不評のビスタでしたが、あの時代のPCスペックにWIN7を出しても同じ結果になったと思います。
デルの製品はウインドウズのプロダクトコードがマザボ(BIOS)に入っており、リカバリーディスクはデル制はすべて共通です。なのでジャンク品からの再生が捗ります。
ノート以外ジャンク品で組んだPCです。すべて2007年代のパソコンですが後3年は戦えそうです。




2013年10月20日日曜日

Android版「FlashPlayer」サポート打ち切り

フラッシュ
アドビがANDROID向けのフラッシュプレイヤーのサポートを終了しました。


9月にリリースされたものが最終リリースのようです。

  • Android4.x.(ICS)用「11.1.115.81」
  • Android2.3/3.x用「11.1.111.73」


今後もフラッシュを使用する場合は、ブラウザの設定のプラグインをオンデマンドに設定しましょう。

オンデマンドにすることで信頼の置けるサイトでのみ手動で有効化することができます。

現在のところANDROID4.0.X以上でも普通にフラッシュを使うことはできます。

ANDROID5以上になるとわかりませんが、フラッシュが使えないと見られない動画サイトは多い。

ニコニコ動画をパソコンと同じように使えて便利でしたが、フラッシュは消えゆくさだめなの事実なのでしかたありません。

アドビの独占体質のせいです。PDFもいずれ消えるかも...

しかし、HTML5は改ざんが容易いからなぁ

2013年10月11日金曜日

BUG 8219321 9695860 脆弱性の修復

アプリ「Bluebox Security Scanner」を使用して端末にセキュリティーホールがあるかを調べてしましょう。

一番上の項目に「BUG 8219321 or 9695860」が見つかった場合は野良アプリのインストールを避けるべきです。

root済みのANDROID4.0.3以上であれば「BUG 8219321 9695860」のセキュリティーホールをアプリ「Master Key dual fix」で修復できる。

ANDROID2.Xを使用している方は野良アプリのインストールを避けてください。

ベンダーがアップデートを行ってくれれば問題はありません。

2013年8月移行のアップデートで各ベンダーはセキュリティーホールを修復してくれたと思います。

Bluebox Security ScannerBUG 8219321BUG  9695860





2013年10月7日月曜日

アプリの権限を削除するアプリ

権限を削除するアプリ
アプリの権限を削除するアプリ「Permission Remover」

起動時に自動実行して常駐するアプリがうざいので、権限を削って自動起動しないようにしてみました。

削除するのは[receive_boot_completed]です。

ラインやカカオトークなどのソーシャルアプリが自動起動して常駐するのを防ぎます。

にちゃんねるめいとなども自動実行されますがサービスが常駐しなければ特に害はないかも。

アマゾンストアアプリとか重いし、自動実行して常駐する必要を感じない。

そんなアプリのreceive_boot_completed権限を削除することでスマフォが快適になります。

2013年8月13日火曜日

HTMLとJAVAScriptの難読化

でこんぱいるIPA
HTMLで作成したアプリはOSに依存しないためiOSとANDROIDの同時開発が可能になります。
WebプログラマーならJAVAScriptとCSSに慣れていて有利かもしれません。
Web Workersスレッドでマルチスレッドも可能になってきていますし。

問題はリソースを難読化しないとアプリを改ざんして再配布されてしまうことです。
現にいくつのアプリか不正な配布が行われていますが、グーグルプレイやアップルストアは開発者の権利を守ってはくれません。

JAVAは特にデコンパイルしやすいのでHTMLメインでアプリを作成すると、
簡単に復元、改ざんされてしまいます。

タイタニウムは難読化機能を備えていません。事前にHTMLを暗号化して、ネイティヴに複合する必要があります。

2013年6月20日木曜日

スマフォのウィルス対策 安全なアプリの見極め

スマフォのウィルスが話題になることが増えてきました。
そこで、私なりの安全なアプリの見極めについて記事にします。

アンドロイドのアプリをインストールするさいには必ずアプリの権限が表示されます。
アプリの機能と権限が一致していれば安全度は高いです。
インストール数、レビューや評価は偽装することが可能なので安全性の基準にはなりません。

他には開発者のWEBサイトやメールアドレスが信用できるものであるかです。
ドメイン取得者情報と開発者が一致していれば安全のように見えますが、こちらも偽装可能です。
私のようにブログやフリーメールを利用している開発者も多いので安全性の基準になるかは微妙です。

 一番安全性の基準になるのが有料アプリを販売していることです。
有料アプリを販売するには銀行口座への振り込みテストが行われます。
つまり、グローバルに振り込みができる銀行の口座情報が登録されていることになります。
これは偽装不可能です。

ウィルス作成はFBIに捕まりますから・・・・・

2013年3月13日水曜日

アンドロイドのフラッシュが更新できない場合

アドビの フラッシュプレイヤーは非常に多くの脆弱性を含んでいます。
そのため常に最新バージョンにしておく必要があります。
グーグルプレイのフラッシュプレイヤーのリンクはこちら
https://play.google.com/store/apps/details?id=com.adobe.flashplayer
フラッシュプレイヤーだけは自動更新を許可にするべきかもしれません


フラッシュの新規開発が終了したのは不具合を管理できない状態になったためです。
一昔前まではフラッシュの技術は覚えて損が無いものと認識されていました。
専門学校のなど教育機関でもWEB=フラッシュという考え方でした。
それほど流行していたにも関わらず、寿命は短くした原因は。
アドビがフラッシュをオープン化することなくフラッシュ開発の権利を譲らなかったせいかかもしれません。結果、フラッシュの言語AS(アクションスクリプト)は閉じた環境で寿命を縮めました。
HTML5のようにソースが丸見えの非コンパイル型では開発者の権利を守れないですし、フラッシュはファイルサイズや動作が軽く、非常に優れていたので残念です。

アドビのダウンロードセンターはこちら
http://www.adobe.com/support/security/bulletins/apsb13-09.html

GooglePlayでFlashが更新できない場合はこちらからファイルをダンロードしてください
apkファイルのダウンロード先はこちら
http://helpx.adobe.com/flash-player/kb/archived-flash-player-versions.html
Android4.1.x以降のバージョンにFlashを新規にインストールすることもできます。

RPC:S-5:AEC-0

2013年1月27日日曜日

root化とは

root化すればXXXができる、といった安易な情報でroot化を推奨する方が増えています。
メリットばかりを主張してデメリットを「自己責任で」との一言で済ませてはいけないと思う。

root権限が有れば何でもできるのは事実です。
しかし、リスクに見合うほどのやりたい事があるのでしょうか?

要望としては以下のものが多いです。

Q.プリインストールされているアプリを削除したい
A.アプリを無効にしてみては?(Android4.x以降)

Q.カメラのシャッター音を消したい
A.無音化用のアプリを使用しては?(画面キャプチャ式のカメラでも端末の液晶解像度と同じ解像度になります)

Q.フルバックアップを取りたい
A.アプリやその端末の母艦PCで十分なバックアップがとれるのでは?

Q.メモリエディタ、オ―バクロック、カスタムROMを使用したい
A.頑張ってください

など、色々と開発案と頂けるのですが。
root化をせずとも代替案は無いのでしょうか?

root化した端末を使用する場合は、以下のインストール権限だけでデータを全て持っていかれる可能性があります。
・完全なインターネットアクセス
・ストレージの読み取り、書き込み

ローカル上のファイルを暗号化していたとしても、復号される可能性はありますし、
如何に暗号化しようともメモリ上のデータを奪われれば無意味です。

APK不正利用対策

開発したアプリの不正利用には幾つかのパターンがあります。

1.アップロードサーバによる有料アプリの無料配布
2.ローカル上での無料アプリの広告表示削除
3.デコンパイルして改ざんしたアプリのグーグルプレイ登録

詳細
1.アップロードサーバによる有料アプリの無料配布
クラッキングツールによってライセンス認証を削除したアプリを配布されてしまう場合です。
ライセンス認証の中核部分のパッケージ名、クラス名の変更、分岐式を論理演算にするなどで防げます。

2.ローカル上での無料アプリの広告表示削除
クラッキングツールによってインターネットアクセス権限を削除してアプリを利用される場合です。
拡張ファイルの有無の確認など、インターネットアクセス権限を使用できるかを確認するなどで防げます。

3.デコンパイルして改ざんしたアプリのグーグルプレイ登録
アプリをデコンパイルして自分の著作物として配布されてしまう場合です。
プログラム内部にパッケージ名のハッシュ値を持たせて置き、動作しているアプリのパッケージ名と比較する事で防げます。

不正利用対策一覧
ライセンス認証パッケージの構造改変
権限の実行確認による改ざん検知
パッケージ名の改ざん検知
OBBファイルの利用を必須にする
インストール時にアプリの内部リソースに端末情報を書き込む(ルート権限によるコピー対策)

他にも微妙な制御を組み込んでみるのも有効だと思います。
例えば、改ざんを検知しても数回、数日は利用できるようにするなどクラッカーを欺く事も大切です。

2012年7月25日水曜日

ライセンス認証と可用性

有料アプリにはライセンス認証機能をつける場合が多いと思います。
しかしながら、起動の度にネットワークを必要とするのは可用性に問題があります。

そこでライセンス認証成功後、端末固有情報などを記録し、次回からは記録が有ればライセンス認証を行わないようするなど、工夫が必要です。

端末固有情報はハードウエアの関連からチョイスするのが手ごろです。

APK Expansion Files 追加リソースファイル

今年の4月くらいから「APK Expansion Files」機能がグーグルプレイで使用可能になりました。
この機能を使うとアプリのサイズ上限を4Gバイトまで拡張できます。

しかし、この機能はANDROID2.3.3以降でないとインストール時に追加ファイルをダウンロードしてくれませんでした。
なので追加ファイルをダウンロードするプログラムを実装しないといけません。
面倒ですがライセンス認証機能も含まれるのでセキュリティー向上につながります。

アップロードできるファイルは2個までで、ダウンロードされるファイルの名前は*.OBBになります。
アップロードしたファイル名が自動的にリネームされまが、圧縮処理などはされていません。
展開には通常のZIP解凍処理でも可能ですが、サンプルを手本にした方が効率的です。

2012年7月11日水曜日

アンドロイド ライセンス認証

グーグルプレイに登録したANDOROIDOアプリは不正配布防止するため、ライセンス認証(オンラインアクティベーション)機能を持たせることができます。

デベロッパーコンソールのプロフィール編集画面に、自分のライセンスの公開鍵がありそれを組み込むのですが。
ちょっとした注意点を述べさせていただきます。

・注意点
1,有料アプリにしかライセンス認証機能を実装できません
無料アプリに組み込むとグーグルプレイからダウンロードできなくなり、ライセンス認証機能も機能しません。
ライセンステスト応答を「通常通り応答します」でテストを行うには、有料アプリを購入してダウンロードする必要があります。
さすがに自分のアプリを購入するものどうかと思うのでライセンステスト応答は「認証、認証失敗」を設定して動作確認をするしかありません。この場合はAPKをアップロードする必要はありません。
2,ライセンス認証だけではセキュリティを破られてしまう。
ライセンス認証はライブラリをインポートして使用します。そのため何読化していないとデコンパイルで認証機能部分を簡単に取り除くことができます。逆に言うと、インポートされたソースごと何読化する事でセキュリティ強化を果たしている。


補足、ライセンス認証テストについて。
デベロッパーコンソールの日本語が変な事は周知の事実だと思います。
テストアカウントの説明が意味不明だったので補足しておきます。
認証テストにはデベロッパーコンソールに登録されているグーグルアカウントが使用されている端末、またはテストアカウントに追加したグーグルアカウント「Gメールアドレス」端末にのみに機能します。





2012年7月9日月曜日

偽メールボックス

無料アプリ「偽メールボックス」を公開しました。
誰かがメールを覗き見しているかもしれないと持ったことはありませんか?
このアプリを開くとフロントカメラで犯人を撮影することができます。
アプリを開いても一見、プログレスバーが表示され続けるだけに見えますが。
メニューボタンを5回タップするとギャラリーに遷移して撮影された写真を見ることができます。

ちょっとした悪戯防犯アプリです。

2012年6月7日木曜日

開発メモ7セキュリティ~パッケージ内のファイルをバイト配列にする


内部リソースを外部に見せないためには、
予め暗号化したファイルを端末内部で復号して使用する

//パッケージ内のファイル→バイトデータ
    public  byte[] fileToByte(String fileName) //クラスと同じパッケージならファイル名のみで可
        throws Exception {
        int size;
        byte[] byteAry=new byte[1024];
        InputStream fin=null;
        ByteArrayOutputStream out=null;
        try {
            fin= getClass().getResourceAsStream(fileName);//内部リソースを取得
            out=new ByteArrayOutputStream();
            while (true) {
                size=fin.read(byteAry);
                if (size<=0) break;
                out.write(byteAry,0,size);
            }
            fin.close();
            out.close();
            return out.toByteArray();
        } catch (Exception e) {
            try {
                if (fin!=null) fin.close();
                if (out!=null) out.close();
            } catch (Exception ee) {
            }
            throw e;
        }
    }

2012年5月28日月曜日

開発メモ⑥セキュリティ~APK内の画像ファイルを見えなくする

APKファイルは解凍されると内部で使用されている画像ファイルが丸見えになってしまします。
そこでバイナリ操作で内部リソースを暗号化する方法が考えられます。


 //ファイルをバイト配列に
    public static byte[] fileToByte(String fileName) 
        throws Exception {
        int size;
        byte[] byteAry=new byte[1024];
        FileInputStream fin=null;
        ByteArrayOutputStream out=null;
        try {
            fin=new FileInputStream(fileName);
            out=new ByteArrayOutputStream();
            while (true) {
                size=fin.read(byteAry);
                if (size<=0) break;
                out.write(byteAry,0,size);
            }
            fin.close();
            out.close();
            return out.toByteArray();
        } catch (Exception e) {
            try {
                if (fin!=null) fin.close();
                if (out!=null) out.close();
            } catch (Exception ee) {
            }
            throw e;
        }
    }

しかし、処理能力を考えるとファイル全体の暗号化は望ましくありません
たとえば画像ファイルならヘッダ情報を隠ぺいするだけでセルフハッキングを防止できます。
JPEGの例だと、予めヘッダの先頭を3バイトを消して、アプリ内部で修正ができます。
byte ary[] = { 0xFF , 0xD8 , 0xFF };//JPEGファイルの先頭3バイト



2012年3月11日日曜日

開発メモ⑤セキュリティ~デコンパイル

JAD(バージョン158g)とJD(0.3.0)を使用して自作のプログラムをデコンパイルしてみました。

・class及びjarをデコンパイル
JAD、JDどちらもソースをほぼ復元。
容易に改ざん&再コンパイルできてしまう。

・apkをdex2jar0.9.Xでデコンパイル+(JAD または JD
JADの場合はループ内処理が複雑だとエラーコメント入りスキップされるが、処理を読めば復元できる。
JDの場合はエラーコメントは無くソースがバラバラになってしまうので復元は難しい。

どちらにも言える事はCASE文を復元できない(ラベルとGOTO文になる)
apkファイルのデコンパイル技術はまだ発展段階なので、解析するにはアセンブラの知識が必須。
他にapkをデコンパイルするツール(dedex)がありますが今回は検証しませんでした。