アプリだから、という油断があると思うやつ。
A2B攻撃とか新しい名前つけてるけど要はAPI叩きまくってるだけだろｗ アプリ側に鍵置くなよ
悪い奴が AI 使うとこうなる。ってのが今の世の中かぁ
今まで非公開のAPIを使うやり方は他でもあったけど、AIで知識のない層にまで広がり容易化したのは大きい
スクリプトキディがAI使えちゃう時代だもんなあ、セキュリティは厳しくなっていく
TLS(HTTPS)だから安心……なんて考えてる開発者は、さすがに居ないよね?
“攻撃者は、Androidアプリを解析して、SSRF、RCE、SQL インジェクション、IDORの4種の脆弱性を主に悪用する。対策として、侵害の確認、脆弱性の点検、暫定的な緩和策（特定アクセス元遮断、不要API停止）、の3点を推奨”
不正アクセスに猫パンチするかぁ、 この辺AI使ったイタチごっこになるの嫌だなぁ
アプリと言っても中身はchromeとwebアプリだったりが多いからね
APIキーをアプリに埋め込みとかまぁえいやーってやっちゃってました。ごめんなさい
NICTが公開Androidアプリの解析から接続先サーバーを狙う「A2B攻撃」に注意喚起。SSRF・RCE・SQLインジェクション・IDORの4種を主に悪用。侵害確認、脆弱性点検、アクセス元遮断や不要API停止を推奨。
試験に出ます
いまやAIに頼めばjadxとかで簡単にAPI丸裸にしてくれるもんな。いうても自社アプリしかアクセスしてこないだろうと考えてるAPIの脆弱性が狙われやすくなってしまった。
アプリからしかアクセス来ない想定でAPI作ったけどアプリからそれぶっこ抜きされたら叩き放題 なんかゲームの不正操作の知見だなあ
アプリ作った経験あるとわかるけどAPサーバからの情報をスマホ用に集約表示してるだけ。みたいな作りなので、それ用のウェブページ作るだけでいいのにアプリ化したがるのは愚かな事。その代償払うの結果的に利用者だ
かつてソシャゲやMMOが通った道。アプリの開発は既に終わっているので、アプリ提供会社は穴をふさぐためだけに予算を使えないし、開発会社も発注がなければ触れない。個人情報ダダ漏れのまま運用する企業は多いだろう
ちょうどそれでHomeAssistantのインテグレーション作った俺的にタイムリーな話
公開アプリを解析してサーバーを攻撃する「A2B攻撃」、相次ぐ不正アクセスの原因の1つとしてにNICTが注意喚起
アプリだから、という油断があると思うやつ。
A2B攻撃とか新しい名前つけてるけど要はAPI叩きまくってるだけだろｗ アプリ側に鍵置くなよ
悪い奴が AI 使うとこうなる。ってのが今の世の中かぁ
今まで非公開のAPIを使うやり方は他でもあったけど、AIで知識のない層にまで広がり容易化したのは大きい
スクリプトキディがAI使えちゃう時代だもんなあ、セキュリティは厳しくなっていく
TLS(HTTPS)だから安心……なんて考えてる開発者は、さすがに居ないよね?
“攻撃者は、Androidアプリを解析して、SSRF、RCE、SQL インジェクション、IDORの4種の脆弱性を主に悪用する。対策として、侵害の確認、脆弱性の点検、暫定的な緩和策（特定アクセス元遮断、不要API停止）、の3点を推奨”
不正アクセスに猫パンチするかぁ、 この辺AI使ったイタチごっこになるの嫌だなぁ
アプリと言っても中身はchromeとwebアプリだったりが多いからね
APIキーをアプリに埋め込みとかまぁえいやーってやっちゃってました。ごめんなさい
NICTが公開Androidアプリの解析から接続先サーバーを狙う「A2B攻撃」に注意喚起。SSRF・RCE・SQLインジェクション・IDORの4種を主に悪用。侵害確認、脆弱性点検、アクセス元遮断や不要API停止を推奨。
試験に出ます
いまやAIに頼めばjadxとかで簡単にAPI丸裸にしてくれるもんな。いうても自社アプリしかアクセスしてこないだろうと考えてるAPIの脆弱性が狙われやすくなってしまった。
アプリからしかアクセス来ない想定でAPI作ったけどアプリからそれぶっこ抜きされたら叩き放題 なんかゲームの不正操作の知見だなあ
アプリ作った経験あるとわかるけどAPサーバからの情報をスマホ用に集約表示してるだけ。みたいな作りなので、それ用のウェブページ作るだけでいいのにアプリ化したがるのは愚かな事。その代償払うの結果的に利用者だ
かつてソシャゲやMMOが通った道。アプリの開発は既に終わっているので、アプリ提供会社は穴をふさぐためだけに予算を使えないし、開発会社も発注がなければ触れない。個人情報ダダ漏れのまま運用する企業は多いだろう
ちょうどそれでHomeAssistantのインテグレーション作った俺的にタイムリーな話