androidに行って来ました。ZusaarAndroidセキュリティ勉強会と言うことで、メモを投下します。一般社団法人日本スマートフォンセキュリティ協会ガイド文書などを作成して公開したり基本ボランティア活動ゆるい感じ個人参加するには、Androidセキュリティ部に入るセキュアコーディングガイドセキュアコーディングのTipsを集めて公開・共有しようというガイド色々ネット上にある情報を精査、他のOSバージョンまで調べてやっている間違っていることもあるかもしれないが、タイムリーに配信するのを目指している現場で使えるガイドを目指している開発者のやりたいこと視点で書いているべからず集ではなく、目的を達成するための目次セキュアなサンプルコードを載せる。初歩的な不備が多く指摘されているパーミッションまわりとか事例これらの事例では脆弱性が報告されただけで、実際に被害はなかった。ネットワークへのアクセス権限を持たないアプリが某投稿アプリの権限で画像をアップロードできる修正済みプラグイン機構を利用して、マルウェアが画像を探してきて本体アプリを操作している。画像アップロード用のActivityが外部に公開されていた。(公開アクティビティ)対策としては、非公開にしておく。修正済み暗黙的Intentの取り扱いにミスがあったBroadcastReceiverを利用してメッセージを取り扱っていたマルウェアがメッセージを受信してごにょごにょしていた。保存したデータをマルウェアがごにょっていたSDカードは読取りが出来てしまうので、SDカードには重要なデータを置かないアプリケーション用のディレクトリに、非公開として置くこと(MODE_PRIVATE)ファイルパスを直打ちしてしまうケースもあります。脅威セキュリティ要件に反する資産へのアクセスネットワーク上の悪意ある第三者が通信経路上にいる。サーバへのなりすまし、アプリへのなりすまし。脅威から資産を守る保護施策をセキュリティ対策と言うどれくらい守るのか?すべての脅威に対策するのは無理がある。資産の重要度に応じて妥当な保護施策を決定する。高位では、rootやdexの改造などの高度な攻撃に対しても保護する必要がある。セキュアコーディングガイドでは範囲外。中位では、Androidのセキュリティレベルを活用する。はてなブログProフリーでプロのグラマーしています。パターン別構築・運用ガイドを読みました。夫婦で人間ドックに行ってきたLifeLogをシェアしてみた。フットボールライフ・ログサービススターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。