OAuthにおける認可コード横取り攻撃とその対策 - Akaki I/O

2021/07/04 236 users OAuth ディープリンク 対策 挙動 シナリオ

​前回の記事で示したように、カスタムURLスキームを偽装した不正アプリは正規アプリへのディープリンクを乗っ取れる。この挙動の悪用シナリオとして、正規アプリと認可サーバー間のOAuthフローにおける認可コード横取り攻撃が知られている。この攻撃への対策を把握するためにiOS環境でシナリオを再現し、PKCEの有効性を... 続きを読む

カスタムURLスキームの乗っ取りとその対策 - Akaki I/O

2021/05/17 353 users カスタムURLスキーム 対策 ディープリンク 攻撃 非推奨

カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。... 続きを読む

Evilginx2によるPayPayのSMS認証強化策の回避 - Akaki I/O

2020/11/09 11 users PayPay MITM 回避 フィッシング 第三者

国内のオンラインサービスになりすまして2要素認証を回避するMITM（Man-in-the-Middle）フィッシングが確認されている¹。そのような中で、キャッシュレス決済サービス「PayPay」は、第三者によるSMS認証コードの不正利用を防止するための強化策を導入した²。この強化策の仕組みに対して、私はリバースプロキシ型のMITMフ... 続きを読む

Slackで認定されたURLリンク偽装の脆弱性 · Akaki I/O

2020/04/27 10 users Slack ビジネスチャットツール 手口 脅威 誘導

Slackで認定されたURLリンク偽装の脆弱性 フィッシング詐欺における偽サイトへの誘導では、正規サイトのURLをかたってリンクをクリックさせる手口が後を絶たない。この手口は主にメールや掲示板からの誘導で悪用されるが、グループチャット内でもURLリンクを偽装できれば脅威になると考えた。ビジネスチャットツールとし... 続きを読む

SMSで送信元の電話番号を偽装したメッセージを送る · Akaki I/O

2019/11/10 43 users SMS docomo回線 送信元 Softbank回線 事前

SMSGangによる電番偽装 SMSGangから偽装したメッセージを送るには事前にPINコードを購入する必要がある。テストメッセージは無料で送信できるため、デバイスで受信できることを確認してからPINコードを購入したい。SMSGangがサポートしている通信事業者を確認すると、日本ではDOCOMO回線とSoftBank回線が対象になってい... 続きを読む

SMSで送信元を偽装したメッセージを送る · Akaki I/O

2019/09/02 909 users SMS 送信元 メッセージ 英数字 受信側

送信元表記が送信者IDのケース SMSのメッセージを受信した際に表示される送信元には、電話番号の代わりに任意の英数字も表記できる。この英数字の送信元表記を「送信者ID（Sender ID）」という。JC3の図では 通信事業者Ａ が送信者IDに当たる。 なお送信者IDの利用可否は受信側の通信事業者の対応状況によって異なる。Tw... 続きを読む