Googleが「Pixel 6」「Pixel 7」「Pixel Fold」のサポート期間を延長　発売から「5年間」に：廉価版（aシリーズ）も対象 Googleは12月6日（日本時間）、一部のPixelスマートフォンのサポート期間を「3年間」から「5年間」に延長することを発表した。対象モデルではOSやセキュリティパッチのアップデート期間も5年間に延長されるため、当初予定よりも2バージョン先までアップデートを受けられるようになる。 →AndroidとPixelに12月の月例更新　PixelにはFeature Dropやバグ修正も 期間延長の対象モデル Pixelのサポート期間は、米国のGoogle Store（直販サイト）での発売日を基準に決められている。Pixel 8シリーズ以降のモデルは「発売日から7年」という設定とされているのに対して、Pixel 6シリーズ／Pixel 7シリーズ／Pi

メモリー関連の不具合を減らすために、「Android」の新しいコードにRustを使用するというGoogleの判断は、成果を挙げているようだ。この数年で、Androidのメモリー安全性関連の脆弱性は半分以下になった。この成果が達成された時期は、GoogleがCやC++からメモリー安全性の高いプログラミング言語であるRustに切り替えた時期と一致する。 Androidに発見されたセキュリティホールの中で、最も件数が多かったカテゴリーがメモリー安全性関連の脆弱性でなかったのは2022年が初めであり、Googleは1年前に、「Android Open Source Project（AOSP）」で新しいコードのデフォルト言語をRustに切り替えている。 GoogleがAndroidに使用しているほかのメモリー安全性を備えた言語には、JavaやJava互換のKotlinがある。AOSPで主流の言語はま

サムスン電子は、9月8日に一部モデルを対象に4世代のAndroid OSアップデートをサポートすると発表した。 最新のGalaxyモデルで提供する一部新機能やAndroid OSの新機能を利用できるようになり、5年間のセキュリティアップデートに対応する。対象端末は以下の通り。 Galaxy Sシリーズ：Galaxy　S22、Galaxy 22 Ultra、Galaxy S21 5G、Galaxy S21 5G Olympic Games Edition、Galaxy S21+ 5G、Galaxy S21 Ultra 5G Galaxy Zシリーズ：Galaxy Z Fold4、Galaxy Z Flip4、Galaxy Z Fold3 5G、Galaxy Z Flip3 5G Galaxy Aシリーズ：Galaxy A53 5G Galaxy Tab S8シリーズ：Galaxy Tab S

2021年、ウクライナ侵攻直前のロシアから安価な密造酒で人々が死んだというニュースが度々伝わってきた。同年8月以降、安価な密造ウォッカが広まり、正規のお酒を買うお金のない人たちが飲んでいたが、メタノールが混入した有害なものも多く少なくとも70人以上が死亡したという。 幸い日本では、このようなことが起きる心配は少ない。日本ではお酒の取り扱いは国税庁が厳しく一元管理している。梅酒作りなどのわずかな例外を除けば、原則、酒税法に則ってきちんと審査されたお酒しか売買できない。最近、ブームのクラフトビールやクラフトジンなども、実は裏でちゃんとこれらの手続きを取っている。 節度のない自由が招く混乱 薬に関しても同様で、薬機法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）で厳しく管理している。このコロナ禍で、塩野義製薬が開発した新型コロナウイルス用の飲み薬のために、通常手続きを省き短時

ホームソフトウェア【要注意】Windows 11にGoogle Playをインストールするための「Powershell Windows Toolbox」がマルウェアだった 【要注意】Windows 11にGoogle Playをインストールするための「Powershell Windows Toolbox」がマルウェアだった 2022 4/16 Windows 11ではAndroidアプリを実行するための機能が導入され、大きな注目を集めています。 公式にはWindows 11で実行できるAndroidアプリはAmazon Appstoreからのみインストールできるとされていますが、Google Playストアをインストールする非公式な方法やツールが存在し、このようなツールの一つである「Powershell Windows Toolbox」がマルウェアだったことがわかりました(Neowin)。

「私は新Pixel 6が本当に気に入っているが、指紋認証が体験を台無しにしている」というユーザーの11月6日（現地時間）のツイートに、米Googleの公式Twitterアカウントが10分後に返答した。 Pixel 6シリーズの指紋認証は、背面ではなくディスプレイ内の光学式センサーによるものだ。Pixelシリーズでディスプレイ内センサーを採用するのはこれが初。 ユーザーのツイートは「ロック解除できるまでに6、7回トライしなければならないことがよくある。ソフトウェア更新で改善されるのを期待しているが、改善されなければこの端末をあきらめるかもしれない」と続く。 これに対しGoogleは「ご面倒をかけて申し訳ありません。Pixel 6の指紋認証センサーは強化されたセキュリティアルゴリズムを採用しています。そのため、場合によっては検証に時間がかかったり、センサーにしっかり指紋を接触させなければならな

９月２１日、リトアニアの国防省は、国民に対して中国の携帯電話を購入しないよう呼び掛けるとともに、既に保有している場合は処分するよう勧告した。中国シャオミの携帯電話、バルセロナで２０１９年撮影（２０２１年　ロイター／Rafael Marchante） ［ビリニュス　２１日　ロイター］ - リトアニアの国防省は、国民に対して中国の携帯電話を購入しないよう呼び掛けるとともに、既に保有している場合は処分するよう勧告した。

運転免許証やマイナンバーカードの画像詐取か 「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。配送物は下記よりご確認ください」 このようなSMSを使った詐欺はご存じの方も多いだろう。宅配便業者の不在通知にそっくりな偽のSMSを使った詐欺手口の相談は、2018年からこれまでに約4500件寄せられているというのだ。 確認されている詐欺の方法は大きくはスマホのOSによって分けられ、Androidは「不審アプリをインストールさせる手口」、iPhoneなどiOS端末では「フィッシングサイトで電話番号や、Apple ID・パスワードを搾取する手口」が多いという。 出典：独立行政法人情報処理推進機構 この記事の画像（4枚） さらに今年5月ごろからは、新たな手口に関する相談が増加。6月22日までに約50件寄せられたことなどから、情報処理推進機構が注意を呼びかけているのだ。 その手口とは、S

カスタムURLスキームの乗っ取りとその対策 2021年5月17日 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイルOS

フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro

202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す

中国通信機器大手のファーウェイが、日本政府に対し、製品のプログラムの設計図に当たるソースコードを公開した上で、独自に検証してもらう仕組みを提案していることが3日分かった。安全保障上の懸念払拭が目的。

送信元表記が送信者IDのケース SMSのメッセージを受信した際に表示される送信元には、電話番号の代わりに任意の英数字も表記できる。この英数字の送信元表記を「送信者ID（Sender ID）」という。JC3の図では 通信事業者Ａ が送信者IDに当たる。 なお送信者IDの利用可否は受信側の通信事業者の対応状況によって異なる。Twilioの販売パートナーであるKWCの説明によると、日本国内ではNTT DOCOMOとSoftBankが送信者IDに対応し、KDDIは対応していないとのこと²。私はKDDIの回線を所有していないため、受信側がKDDIの電話番号を使用している場合の挙動は検証できていない。 まずはiOSの公式メッセージアプリに届いていたAmazonからのメッセージのスレッドで偽装を試みる。送信者IDは Amazon となっているため、TwilioでSMSを送信する際のFromの値に Ama

A History of system-level offensive security researches: How is your system compromised by nation state hacking, APT attack はじめに 企業や個人に対するサイバー攻撃の頻度は年々増加の一途を辿っているが、これらはskiddyによる悪戯程度の物から、企業を標的とした高度な標的型攻撃、あるいは政府による諜報活動に至るまで多岐にわたっている。 特に大規模な組織や政府による綿密に練られたサイバー攻撃は、確実に目的を果たすために高度な手段が講じられる事が多い。 本記事では高度標的型攻撃や政府による諜報活動で用いられる手法の一つとして、"システムソフトウェアに対する攻撃"について紹介する。 これはオペレーティングシステム (OS) や仮想マシン、ファームウェアといった基盤システムを

Live Translation with AirPods won't come to EU-based Apple usersEurope, the bloc with 24 official languages and 287 spoken in total, won't get Apple's Live Translation with AirPods feature for now.

現在の Android Developers の情報は非常に充実していて、Developer Guides を順に読み進んでいくだけで開発に必要な知識とGoogleが想定している(であろう)最も基本的な実装を学ぶことができる。 特にこの「基本的な実装」というものが重要で、これを知っておかないと開発者間の意思疎通がスムーズに行えなかったり、そもそも気をつけておくべき注意点を見落としがちになってしまう。 とはいえ、今の膨大な公式ドキュメントをただ読めというのは厳しいので、Android開発をする上で最低限理解しておいてほしい(と僕が思っている)事柄と、それについて知ることができるドキュメント類についてまとめてみることにする。 2018/03/25 : リリース周りについて別記事に追記した。 nein37.hatenablog.com 公式ドキュメントの重要ページ 公式ドキュメントと言った場合、