Huang0情報を保護することは、デジタルライフにおいて常に最も重要な側面の1つであることに異論はないでしょう。昨今のスマートフォン(以下、スマホ)の使用頻度を考慮すると、なおさらです。スマホ端末内蔵のプライバシーおよびセキュリティ機能を活用するユーザがいる一方で、セキュリティ・プライバシー保護のアプリをさらに使用するユーザもいます。使用することが挙げられます。情報を保護する上でこれらのアプリはどれほど効果的なのでしょうか。これらのアプリが仕様通りであり、情報保護に必要な基準を満たしていると考えて良いのでしょうか。Play」で、人気の高い情報保護アプリを解析したところ、セキュリティ上十分な機能を提供していないものがあることが確認できました。URLは以下のとおりです。https://play.google.com/store/apps/details?id=com.tonado.boli.hiperhttps://play.google.com/store/apps/details?id=com.domobile.applockhttps://play.google.com/store/apps/details?id=com.newsoftwares.folderlock_v1https://play.google.com/store/apps/details?id=com.mwgo.filelocker弊社は既に、上述のアプリの開発者およびGoogleに報告しています。Pro」は、数秒でファイルを隠すとうたう情報保護アプリです。プライバシーを厚く保護するために、チップを計算するアプリに装っているとしています。実際は、このアプリが提供する「保護」は、ファイル名の冒頭に「.」を追加してファイル名を変更するだけであることを弊社は確認しました。図1が示すように、「隠す」が実行された後との違いは、ファイル名が変更されただけです。事実、これらの「隠された」とするファイルは、ファイルエクスプローラで閲覧することができます。ファイルを作成します。これらのファイルは、SDカードに保存されており、全ユーザに読み取り権限があります。端末上のどのアプリからも読み取ることができるということです。手掛かりとして利用し、「隠された」とするファイルを探し出して、読み取るかもしれません。.MySecurityData/dont_remove/」にユーザのファイルを移動し、「隠し」ます。残念ながら、このデータベースと隠されたファイルは、SDカードに保存され、全ユーザに読み取り権限があります。Lock」が他のアプリと一線を画す点は、クレジットカード番号やパスワード、またオンライン銀行関連やビジネス関連のその他の情報を保護する「ウォレット」を提供していることです。弊社の解析によると、ウォレット内の情報は暗号化されるどころか、平文で誰でも読み取りができるパスに保存されていることがわかりました。その他の「隠された」とするファイルも、暗号化せずに固定パスのフォルダに保存されています。Lock」は、仕様通りに実際にファイルを暗号化するアプリでした。本当にユーザのファイルは保護されているのでしょうか。解析した結果、そうではないことが判明しました。このアプリは、開発者が自身で定義した固定のアルゴリズムを使用してファイルを暗号化します。残念ながら、しかし、サイバー犯罪者は、このAPKファイルを逆コンパイルして、容易に解読アルゴリズムを実行するかもしれません。これでは、暗号化された情報も平文で保存された情報と何の違いもありません。図5:パスワード「123」でファイルをロックする図6:ロックされたファイルが復号化され、パスワード「123」が表示される特筆すべきことは、このアプリにおけるパスワード保護は、現実的ではないということです。設定されたパスワードは、暗号化され、暗号化されたそれぞれのファイルの最後のブロックに保存されるだけです。端的に言えば、パスワードも、保存された1つのファイルでしかありません。ファイルが復号化されると、ファイルとパスワードの両方がさらされます。第3者が復号方法を知り得たとしても、パスワードがファイルへのアクセスを防ぐのが理想的です。■利用者が個人情報を保護するには弊社が確認したこれらのアプリの共通点は、他のアプリやアカウントがその情報にアクセスできるということです。これは利用者がどの程度の情報保護の強度を期待しているかにもよりますが、セキュリティ専門家の観点からは、十分な情報保護機能とは言えないと考えます。利用者が保護したいファイルには情報収集や漏えいの危険性が残っているものと言えます。5000万回のダウンロードを記録しているアプリもあります。利用者は、アプリをダウンロードする際は、自分が期待する機能が実現されているかどうか、よく確認する必要があります。アプリのレビューは、アプリが本当に紹介されている仕様通りに機能するかどうかの確認に役立ちます。今回解析したアプリは、例えば情報を窃取しようとする攻撃者から情報を守るという観点では十分な保護機能を提供しているものとは言えませんでした。ユーザは自身のプライバシーを保護するためにどのレベルの保護が必要なのかを考えるべきでしょう。セキュリティ関連アプリを導入しなくても重要な情報を保護できる方法があります。それは、モバイル端末に格納されている情報量を制限することです。モバイル端末で実行される処理量および種類を考えると、何らかの形式で重要な情報を保存することは避けられないように思われます。保存される情報量を極最小限にすることで、ユーザは容易に管理することができます。5つのアプリを管理する方が簡単です。情報量を少なくすることで、プライバシーの問題を軽減することができます。■開発者に求められるセキュアなアプリ作成に向けての自序努力スマートフォンのアプリ開発者には多くの個人開発者も参加しています。した開発者はどのようにセキュアなアプリ作りを心掛ければ良いのでしょうか。重要な事はすべての開発者は利用者に安全に使えるアプリを提供する自序努力を怠ってはならないということです。これは開発規模に関わらず求められる要求であると考えます。スマートフォンセキュリティ協会が発行する『Androidアプリのセキュア設計・セキュアコーディングガイド』(日本語版/英語版)が有効です。スマートフォンセキュリティ協会『Androidアプリのセキュア設計・セキュアコーディングガイド』http://www.jssec.org/report/securecoding.html開発者はガイドラインの内容に沿ったコーディングを行うことで、セキュリティ強度とともに、アプリの品質を高めることが期待できます。「SafeSync」を提供しています。「SafeSync」を活用することで、安全なクラウド上にファイルを保存したり、バックアップコピーを作成することができます。