セキュリティ奥野大児スマホアプリもセキュリティが無視できない時代になってきました。セキュリティ上の脆弱性は瑕疵(きず・欠点)になるという判決が出ている現在、訴訟に対応する社内の動きや利用者への補填など、セキュリティ脆弱性の影響は多方面に及びます。EUの一般データ保護規則(GDPR)が2018年5月に施行されるようになり、個人情報保護の問題は国内だけの問題ではなくなってきています。アプリにEUの国のアカウントが登録され、それが漏洩した場合、GDPRに基づく重い制裁も覚悟しなければなりません。Security!今すぐ実践!ハイブリッドアプリ開発とセキュアプログラミング」と名打ったセミナーが2017年10月17日に東京・御茶ノ水で、19日に兵庫・神戸で行われました。その東京開催の様子をレポートします。題してお話しされました。三木氏は攻撃事例や被害事例、経営層の無理解を避けるための現場の動き、責任の所在を明らかにすることなどを説明。「事故が起きると現場担当者が退職するケースが多いのです。シンドイ思いをしたのに会社は認めてくれないんです」。セキュリティ事故の一面を語りました。人材流出は重大なトラブルです。近ごろでは、あらかじめ脆弱性対応作業の必要性を役員に相談した上で予算上などの理由で作業しない指示が出て、その後脆弱性の事故が発生したときには役員が責任を取ったという例もあったそうです。アプリ開発ビジネスにおけるセキュリティ脆弱性の対処が重みを増していることを説明しました。正裕が「クロスプラットフォーム開発を可能にするMonacaとそのセキュリティ対策」というタイトルで行いました。Monacaは、約20万人の利用実績があるクロスプラットフォームなアプリ開発基盤です。Cordovaから拡張したものになっています。Monacaで開発したiOS/Androidアプリは、モバイルが持つ脆弱性の影響をモロに受けます。そこで、2016年に起こったモバイルのセキュリティ絡みの課題トップテンから重要な情報を抜き出して解説しました。大切なWebViewとOSのバージョンMonacaアプリは、システムコンポーネントであるWebViewの上でアプリケーションが動きます。OSのバージョンアップをユーザーがどんどん行ってくれるiOSと違い、Androidはメーカーによっても対応がバラバラ。旧機種のサポートが弱いなどの状況から、古いバージョンのWebViewが多く使われているのが実情です。Playからバージョンアップされるようになるため、安心度が増します」。Playで公開ができないことから、現実的にどこまで古いAndroidに対応するかを検討する必要性を示唆しました。克志氏によって行われました。ソニーグループにはプレイステーションネットワークのような侵入者が興味を持ちそうなサービスがあるため、グループ全体でセキュリティ対策に力を入れているのだそうです。Checkerをリリース。これはAndroidアプリのセキュア設計・セキュアコーディングガイドに準拠したチェッカーになっており、APKファイルをアップロードするだけで脆弱性やセキュリティリスクを数分で分析するというものです。攻撃者は投資対効果を意識する多くの攻撃者は難攻不落なシステムの攻略を目指すというよりは、既知の脆弱性を修正していないシステムに攻撃を仕掛けます。「Windowsシステム向けに2017年5月に大規模なサイバー攻撃が行われたワーム型ランサムウェアのWannaCryというものがありますが、この脆弱性と修正パッチをマイクロソフトが発表したのは同年3月でした。2ヶ月もの期間があったのに対策されていないサーバーが結構あったのです」と背景を解説しました。CheckerのCordova対応を行い、Monacaとの連携を進めているところだそうです。こちらは続報があり次第、別途モナカプレスでお伝えします。「ハイブリットアプリのセキュア開発をやってみた」というタイトルで行われました。テスト、運用」としたときに、脆弱性試験をどこのフェーズで取り入れたら良いのでしょうか。必要性が頭でわかっても、実際に対応する組織的な難しさを包み隠さず話した柏原氏は「特定条件下の業務用アプリなどの場合には、お客様の了解を取った上で厳密に行わないケースもあります」と現場感に溢れた説明もしてくれました。開発段階のチェックで効率化しかしながら大切な情報を取り扱うアプリでは、セキュリティチェックは欠かせません。Checkerの導入を行いました。開発段階で定期的にチェックができれば手戻りも少なくなるだろうとの判断がされたとのことです。テスト、運用」というフェーズがあった場合に、より左側のフェーズでセキュリティを考慮することを「シフトレフト」と呼びます。最近ではこの考え方が重要だと柏原氏は語りました。不要な個人情報を取り扱わないよう顧客を説得し、システムに必要なデータのみ受け渡すよう徹底したという実例も紹介。さまざまな角度からセミナーのテーマからは環境面・開発面からどのように改善していくかという講演内容になるかと思いきや、取り扱うデータ自体の調整をするなどの現場に即した提案まで出てきた、実践的なイベントとなりました。奥野大児グルメ・IT・時代劇・将棋などを書くライター、およびブロガー。ライターイベント・ブロガーイベントをちょくちょく開催し、日本最大規模のブロガーイベント「ブロガーズフェスティバル」を毎年開催。セキュリティからWeb、教育まで。MEMEのハンズオンイベントを...HTML5アプリに関わるユーザのための祭典。(JavaScript基礎構文)iOS16から導入された「デベロッパモード」についてhtmx:JavaScriptなしでサーバーとの通信を実現する見やすい、メンテナンスしやすいJavaScriptのために。