BLOG参加したイベントや社内のことなど神戸デジタル・ラボの幅広い活動をご紹介するブログです。セキュリティスマホアプリの脆弱性診断って何してるの?スマホアプリ開発向けの便利なツールやサービスが増え、手軽に開発できるようになってきた一方で、アプリの脆弱性による情報漏えいのニュースも目にするようになりました。このブログでは、スマホアプリのセキュリティ対策の必要性、脆弱性とは何者なのか、スマホアプリの診断は何をしているのかを、ざっくり解説します。脆弱性診断をするのかサービス品質のセキュリティと品質の関係で考えてみましょう。製品やサービスの品質をモデル化した「狩野モデル」で言えば、脆弱性がないということは「当たり前の品質」に相当します。これは、例えば扇風機であれば、風を起こすなどの基本機能や羽のガードがついているなど最低限の製品の安全性に相当するものです。当たり前のことができていないと、がっかりの度合いもおおきいですよね。それどころか、クレジットカード情報など顧客情報の流出となると企業の信用問題に発展し、大きなダメージを受けることになります。どこが狙われるのかスマホアプリはどこが狙われるのでしょうか?身近な例えで言えば、家の留守を狙う泥棒なら空いた窓やピッキングしやすい鍵などを狙います。万引きなら店員から死角になる場所など。野球なら、隙を見て盗塁したり、技術が高い選手はピンポイントに打ち分けたり。共通しているのは、「強固じゃなさそうなところを狙う」というところです。バックエンドサーバーや、データベース、認証基盤をクラウドにおいて、WebAPIを通じてアプリから呼び出すという構成の場合ならどこを狙うか考えてみましょう。脆弱性診断の方法(WebAPIとネットワーク)ここからは、脆弱性診断の方法をご紹介します。WebAPIとネットワークの診断は、Webアプリケーションの脆弱性診断とだいたい同じです。WebAPIが攻撃されると、クラウド上のデータベースにあるデータの漏えいや、機能の不正利用につながるなどのリスクがあります。診断ではWebAPIの仕様に合わせてツールおよび手作業による疑似攻撃診断を行います。ネットワークを攻撃されると、通信ののぞき見や改ざんのリスクがあります。IDやパスワードを入力してログインすればその情報が、住所やメールアドレスなどの個人情報を入力して登録すれば、その個人情報がネットワーク上に流れます。ネットワークの脆弱性による漏えいでは、例えばホテルやカフェなどの公衆のネットワーク上でのぞき見されるようなケースがあります。診断では、通信内容が暗号化されているかどうかを検査します。脆弱性診断の方法(アプリ)スマホアプリの脆弱性診断では、スマホにダウンロードしたアプリのファイルを調べて脆弱性がないかどうかを診断します。KDLの脆弱性診断サービスでは、AndroidとiOSに対応しています。今回は、Androidアプリを例にざっくりと何をしているのかをご紹介します。診断では主に次の3つの方法で診断を行います。端末内データの解析その他不正操作APKファイルや端末内データの解析は、まずアプリがどのような流れでどのような動作をするのかを調べる作業です。空き巣が、どこにドアがあって窓があるのか、開きやすそうな鍵はないか、など下見をするイメージですね。そのあとに、いろいろな不正操作をしてを脆弱性を調べるという流れです。APKファイルの解析APKファイルとは、プログラムをビルドしたデータや、アプリの情報や権限が記載された設定ファイルが同梱されている、ZIPファイルのようなものです。中のファイルを開いて、例えば重要な情報に外からアクセスできないか、ID・パスワードや個人情報などの重要情報がハードコードされていないかなどを確認します。データを逆コンパイルしてソースコードを復元し、例えば暗号化キーやAPIの接続先などの隠しURLなどの重要情報がハードコードされていないかを確認します。端末内データの解析APKファイルを使ってインストールし、アプリをひととおり操作してから、端末内のデータを解析します。これは、インストールによってアプリが使うデータファイルが作成され、アプリを操作することでアプリの機能で必要となるデータが蓄積されるためです。これらのデータファイルには、接続先から取得した情報を保管するデータベースや、XMLファイルなどが入っています。データベースにどのようなデータが入っているかを確認します。パスワード情報、保持しているポイント数などが入っていると要注意です。その他不正操作ここまでで集めたアプリの情報や、アプリが使っているデータの情報からあたりをつけ、脆弱性を検査します。ゲームアプリで強さのスコアを保持していれば、これを書き換えてもっと強くできるかも、というようなイメージです。アプリの構成要素のアクティビティを開始する、インテントと呼ばれるメッセージを強制送信して、意図しない動作を起こさせられないか、などを試します。ログイン後にしか起動できない機能を強制起動させてみる、などです。アドバイスを行っています。まとめ脆弱性診断を実施する際、網羅的に脆弱性を探すことも大切ですが、「攻撃者ならどこを狙いそうか?」「どの機能が悪用されそうか」という視点を持つことで、より質の高い脆弱性診断ができると思います。Webアプリケーションやサービスだけではなく、日常生活でも「自分ならどこを狙うか?」を意識しておくと、セキュアな開発の意識づけが自然とできてきます。スマートフォンセキュリティ協会(JSSEC)が提供しているAndroidアプリのセキュア設計・セキュアコーディングガイドを参照することをお勧めします。OSアップデートのたびに、多大な苦労をしてアップデートされており、サンプルも豊富に用意されています。脆弱性診断のみに頼らず、ぜひセキュアな開発を心がけてください。大阪)関連サービスProactiveDefenseはこちら最新情報を配信中!メールマガジンの登録はこちらいいね!をお願いしますKDL公式FacebookTwitterもフォローしてくださいねKDL公式Twitter本件に関するお問い合わせフォーム・お電話で、お気軽にお問い合わせください。