)から表題のプレス発表が公開されました。(http://www.ipa.go.jp/about/press/20140919_1.html)内容は2014年9月3日に米国のCERT/CCが行った報告を踏まえたもので、複数のAndroidアプリに「SSL証明書を適切に検証しない脆弱性」があることが確認されたことから、開発者に対して注意喚起するものとなっています。CERT/CCの報告では問題が確認されたアプリのリストが公開されており、現時点で複数の日本語名のアプリを含む617のアプリが記載されています。Notes)にも報告が上がってくるもので、個人的には「何で同じ問題が色々なアプリから上がってくるのだろう?」と思っていました。JVNが公開している脆弱性対策情報データベースをAndroidというキーワードで検索してみると「SSL証明書を適切に検証しない脆弱性」が多く報告されていることが分かります(「サーバになりすまされる脆弱性」と表記されている場合もあります)。(http://jvndb.jvn.jp/)多くの報告があるということは、「開発者がついやってしまうこと」が脆弱性につながっているのではないかと推測できます。以下のようなことです。AnCoLe」を紹介しています。(https://www.ipa.go.jp/security/vuln/ancole/index.html)(タオソフトウェアが開発協力しています)実装方法については、以下の資料に解説されていますので参照ください。他社のライブラリを自アプリに組み込んでいる方は、CERT/CCのリストをぜひ確認してください。ライブラリに脆弱性があることが報告されています。リストの内容は随時更新されているようで、問題が解決されたバージョンの情報等も記載されています。現時点(2014年9月19日)で以下がリストされています。Flurry(3.4.0で解決済み)Chartboost(2.0.2で解決済み)Adcolony(未解決)MoMinis(未解決)Inmobi(未解決)Tapjoy(未解決)Appsflyer(未解決)Gameloft(未解決)Zopim(未解決)Fiksu(未解決)ライブラリ内の問題は使っている側で見つけるのはとても難しいですし、残念ながらAnCoLeでも検出できません。RiskFinder」を使えばライブラリ内の問題も検出できます。Tokyoで登壇してきました。Securityのスライドをアップしました。2018に当選しましたので行ってきます。AutoFillに潜む危険性の講演資料をアップしました。ファンディングは90%達成リスクファインダー株式会社はじめました。Tokyoで登壇してきました。Securityのスライドをアップしました。2018に当選しましたので行ってきます。AutoFillに潜む危険性の講演資料をアップしました。