Blog - LINE ENGINEERING

TAG ARCHIVES: Security

AIR GOの紹介
Taewoo Kim2018-09-27
AIR GOの診断パートの開発を担当しています。
こんにちは。AIR GOの開発を担当しているKIM TAEWOOです。このブログではAIR GOを紹介したいと思います。 AIR GOとは一言で言うとAndroid/iOSのビルドバイナリ（APKファイル/IPAファイル）を分析し、脆弱性を含むリスクを発見するツールです。オープンソースツールであるSanDroidなどを利用したことがある方はイメージしやすいと思います。最近社内では、アプリをリリースする際にAIR GOを活用して、リリース前のアプリに含まれるリスクを除去するようにしています。社内の方であれば誰でもAIR GOにアクセスして利用することができますし、外部の方も、https://airgo.line.meにアカウントを登録すれば利用することが来ます。（1回/1日）過去にコーポレートページでセキュリティサービス「AIR」を紹介（https://linecorp.com/ja/pr/news/ja/2018/2126）していますが、今回はAIRを構成するツールの一つであるAIR GOについて、エンジニアの観点から紹介します。 AIR GOの仕組み AIR GOは、パッケジング
「Bug Bounty」をテーマとしたSecurity Meetupを開催しました！
k2wanko2018-05-23
LINEで脆弱性探してます。
こんにちは、LINEのセキュリティ室でセキュリティエンジニアをしているコキチーズです。LINEでは、社内のエンジニアであれば誰でも技術イベントの企画や、勉強会での登壇が可能です。またそういったエンジニアの対外的な活動を支援してくれる専門のチームが社内に存在します。それを利用して「Bug Bounty」をテーマとした勉強会「Meetup in Tokyo #34 - Security Bug Bounty -」を開催しました。セキュリティの勉強会を主催するのは初めてで不安でしたが、結果的に大勢の方にお越しいただきました。皆様ありがとうございます。 Bug Bountyとは製品やサービスの脆弱性を報告し、それに対して報奨金の支払いを行うプログラムです。LINEでもLINE Security Bug Bounty ProgramとしてBug Bountyを行っており、私は運営に携わっています。 LINE Security Bug Bounty Programについて今回は主催だけではなく、登壇者として「LINE Security Bug Bounty Program について」という内
[LINE x SECCON 2017] LINE Security Bug Bounty Program キャンペーンのお知らせ
Teppei Miki2018-04-02
Developer Relations Team, LINE Corporation.
Developer Relations チームの三木です。 LINEでは、コミュニケーションアプリ「LINE」および一部関連サービスに存在する脆弱性を早期に発見し、ユーザーにより安全なサービスを提供することを目的として、「LINE Security Bug Bounty Program」を実施しています。該当サービスの安全性向上に繋がると判断した脆弱性の報告を対象に、報奨金を提供しています。 LINEがスポンサーを務めさせて頂いた、日本国内最大のセキュリティコンテストSECCON2017決勝大会（2月17日、東京電機大学）では、セキュリティ室の久保田量大(@k2wanko)が登壇し、LINE Security Bug Bounty Programの概要やその経緯、具体的な脆弱性の報告事例、皆様に報告頂くにあたってのTipsなどを紹介いたしました。またその発表の中で、キャンペーン「LINE x SECCON 2017 LINE Security Bug Bounty Program」の開始について、触れさせて頂きました。告知開始から時間が経過しておりますが、本Engineerin
- Security
- Bug Bounty
2017年LINE Security Bug Bounty Programの結果について
MJ2018-02-13
LINEでセキュリティに関する業務を担当しています。
こんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2017年（1月1日〜12月31日）の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、LINEが提供するサービスにおいて潜在的に存在する脆弱性を外部のエンジニアの方々からご報告を頂き、我々が迅速に修正していくことで皆様により安全なサービスを提供することを目的としています。プログラム対象拡大や寄付制度について前回の記事でも紹介しましたが、2017年は、プログラムの対象を拡大し、より多くの報告を受付けることが出来ました。（受付状況をご覧ください。）また、2017年の11月には報奨金の寄付オプションを開始し、報奨金支払いの対象者が寄付を行うことも可能になりました。プログラムの拡大や報奨金の寄付オプションについては、以下のURLを参考にしてください。プログラムの拡大：https://linecorp.com/ja/pr/news/ja/2017/1712 報奨金の寄付オプション：https://linecorp
- Security
- Bug Bounty
VoIPのオープンソースライブラリPJSIPにおけるバッファオーバーフロー
Kim Youngsung2017-12-23
LINEでセキュリティエンジニアとして働いています。バグを探すのが楽しく、セキュアコーディングへの関心が高いです。
こんにちは。セキュリティ室（アプリケーションセキュリティチーム）で主にLINEサービスのセキュリティ診断を担当しているYoungsung Kim（Facebookアカウント/Twitterアカウント）です。これはLINE Advent Calendar 2017の24日目の記事です。今日はVoIPのオープンソースライブラリであるPJSIPの脆弱性（CVE-2017-16872およびAST-2017-009）について書かせていただきます。PJSIPは、標準プロトコル（SIP、SDP、RTP、STUN、TURN、ICE）を実装したオープンソースのマルチメディア通信ライブラリです。たとえばIP PBXやVoIPゲートウェイなどで広く使用されているAsteriskフレームワークは、PJSIPを使用してSIPスタックを実装しています。はじめに今回発見した脆弱性は、64ビット環境においてクライアントから受け取ったデータを処理する際にsigned intからunsigned longへの暗黙的な型変換（型キャスト）が行われており、そこで整数型の符号拡張を考慮していないことが原因でバッファオーバーフロ
CEDEC 2017 登壇レポート「LINEゲームのセキュリティ診断手法」
Teppei Miki2017-09-10
Developer Relations Team, LINE Corporation.
2017年8月30日(水)〜9月1日（金）にパシフィコ横浜で開催されたコンピュータエンターテインメントデベロッパーズカンファレンス2017(CEDEC 2017) にて、LINEはPRプログラムスポンサーとして協賛いたしました。 8月31日には、セキュリティ室に所属するエンジニアである愛甲健二が、「LINEゲームのセキュリティ診断手法」と題して登壇いたしました。※この他、愛甲は9月1日の「SECCON 2017 x CEDEC CHALLENGE ゲームクラッキング＆チートチャレンジ」にも登壇いたしました。会場にはこちらの予想を越える数のデベロッパーの皆様に足を運んで頂くことができました。ゲームの開発・運営にあたり、悪意あるユーザからどのようにゲームのセキュリティを担保すれば良いか、問題意識の高さが伺えました。セッション前半では、モバイルゲームで一般的に見られるチート手法のパターンを、デモを交えつつ具体的に解説しました。後半は、Unity、Cocos2d-x、Unreal Engineといった主要なゲームエンジンで開発されたゲームの分析を、静的解析/動的解析に分けて行い、さら
- Security
- CEDEC
2017年上半期LINE Security Bug Bounty Programの結果について
MJ2017-08-01
LINEでセキュリティに関する業務を担当しています。
プログラム対象拡大についてこんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2017年上半期（1月1日～6月30日）の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、LINEが提供するサービスにおいて潜在的に存在する脆弱性を外部のセキュリティリサーチャーからご報告を頂き、我々が迅速に修正していくことで皆様により安全なサービスを提供することを目的としています。また「LINE Security Bug Bounty Program」として常時運営を開始（2016年6月2日）して以降、LINEサービスの成長に伴い4月10日よりプログラムの対象を拡大しました。（新たにコミュニケーションアプリ「LINE」のChrome版・Windows 10 Mobile版と、LINE STORE・LINE NEWS・LINE MUSIC・LINE LIVEの各Webサイトを追加いたしました） https://linecorp.com/ja/pr/news/ja/2017/1712
- Security
- Bug Bounty
【協賛・登壇情報】CEDEC 2017
LINE Engineering2017-07-12
LINE Engineering Blog official account
2017年8月30日(水)〜9月1日（金）にパシフィコ横浜で開催される CEDEC 2017 にてLINEのエンジニアが登壇いたします。また、 LINEはPRプログラムスポンサーとして協賛しております。公式サイト CEDEC 2017 | Computer Entertainment Developers Conference 【イベント概要】コンピュータエンターテインメントデベロッパーズカンファレンス2017(CEDEC 2017) は、ゲームを中心とするコンピュータエンターテインメント開発に携わる方、エンターテイメントコンテンツ制作やビジネスに携わる方を対象としたカンファレンスです。日　　時：2017年8月30日(水)〜9月1日（金）開催場所：パシフィコ横浜 LINE からはアプリケーションセキュリティチームの愛甲が「LINEゲームのセキュリティ診断手法」と題し、お話させていただきます。セッションの詳細についてはこちらをご参照くださいませ。また、愛甲の個人登壇として「SECCON 2017 x CEDEC CHALLENGE ゲームクラッキング＆チートチャレンジ」というテー
LINE Engineer Insights vol.5「セキュリティ室シニアエンジニアに聞く、LINEのスパム対策と今後の展望」
LINE Engineering2017-07-05
LINE Engineering Blog official account
LINE で働くエンジニアに色々と話を聞いていく「LINE Engineer Insights」の第5弾です。当コーナーはインタビュアーに LINE で働くエンジニア @tokuhirom を迎え、エンジニア同士でざっくばらんにお話を伺っていくというものです。今回も、LINE のエンジニアは一体どんな人達なのか、その内面に迫っていきたいと思います。第5弾はセキュリティ室アプリケーションセキュリティチーム所属の石田暁久に、LINEのスパム対策やセキュリティのツール開発などについて聞いてきました。 LINEのセキュリティチームはどんなチーム？ ―― tokuhirom宜しくお願いします。最初に、入社時期と現在メインでやってらっしゃる仕事を聞かせていただけますか？ ―― 石田入社は2011年の10月なので今年で6年目です。セキュリティ室のアプリケーションセキュリティチームに所属していて、主にスパム対応と各種Abusing対応をやっています。編集部注：Abusing とは不正行為のこと。LINE上で行われる無意味なメッセージ送信や、スタンプを大量に送ったりアカウントを乗っ取る目的で他ユ
2016年LINE Security Bug Bounty Programの結果について
MJ2017-01-25
LINEでセキュリティに関する業務を担当しています。
常時運営化についてこんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2016年の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、サービスに潜在的に存在する脆弱性を外部のエンジニアの方々からご報告を頂き、我々が迅速に修正していくことで、皆様により安全なサービスを提供することを目的としています。まず、2015年に8月24日～9月23日の期間限定で試験的に実施し、そして、(1)プログラム内容の改善　(2)リスクの継続的な管理を目指して、プログラムの利用規約、報告フォーム、報告内容の判定基準、さらに常時運営を前提とした運営体制等のあらゆる側面の改善を準備し、2016年6月2日より「LINE Security Bug Bounty Program」として新たに運営をすることとなりました。 LINE Security Bug Bountyのトップページ : https://bugbounty.linecorp.com/ 脆弱性報告フォーム : https://bug
- Security
- Bug Bounty

1 2 3 4