スマホアプリセキュリティの現状課題と解決策

Size: px

Start display at page:

Download "スマホアプリセキュリティの現状課題と解決策"

きみえねごろ
5 years ago
Views:

1 セキュアコーディングガイド Android 6.0 対応年 2 月 24 日 JSSEC 技術部会副部会長奥山謙 ( ソニーデジタルネットワークアプリケーションズ株式会社 ) Ken.Okuyama@jp.sony.com セキュリティシンポジウム 1

html Android セキュアコーディングと検索デファクトスタンダードなガイド基準総務省も推奨のガイド通信キャリアや多くのアプリベンダーでも活用

4 ２０１２年６月初版公開 Androidアプリセキュリティの教科書 Androidアプリセキュリティのノウハウ集通称 JSSECセキュアコーディングガイド PDF文書とセキュアなサンプルコード一式無償 Android セキュアコーディングと検索デファクトスタンダードなガイド基準総務省も推奨のガイド通信キャリアや多くのアプリベンダーでも活用受入基準にするアプリ発注会社もある 01ryutsu03_ html -スマートフォンもっと安全安心に- 4 Copyright (C) JSSEC All rights reserved.

6 2015 年 6 月 1 日版 ( 第 5 版 ) 2015/7/10 にセキュアコーディングガイド 2015 年 6 月 1 日版 ( 第 5 版 ) を一般公開改定内容最新の統合開発環境 Android Studio に対応 Android Lollipop に対応 Eclipse プラグインベースの ADT (Android Development Tools) は 2015 年 12 月にサポート打ち切り Copyright (C) JSSEC All rights reserved. 6

7 年 2 月 1 日版 ( 第 6 版 ) /2/3 にセキュアコーディングガイド年 2 月 1 日版 ( 第 6 版 ) を一般公開改定内容 Android 6.0 対応 Permission モデルの変更に対応指紋認証 Android 5.0 以前の項目追加 5.0 で刷新された Notification getrunningappprocess() 仕様変更 WebView に追加された機能の注意点など Copyright (C) JSSEC All rights reserved. 7

第 5 版の特徴 2015 年 6 月 1 日版改定内容下記の内容で記事を更新しました最新の統合開発環境 Android

既存記事の Lollipop 対応既存記事を最新の Lollipop 環境に対応

CVE-2013-4710 執筆当時ゼロデイだったため記載できなかったので今頃対応 File スキームの

以降を対象と改めたことを受け Apache HttpClient ライブラリを利用した方法から

11 既存記事の Lollipop 対応既存記事を最新の Lollipop 環境に対応新しいセキュリティ問題やコーディング方法を追記例えば WebView HTTP 通信 CVE 執筆当時ゼロデイだったため記載できなかったので今頃対応 File スキームの HTML から任意のローカルファイルにアクセスできる件本版で対応 API level 15 以降を対象と改めたことを受け Apache HttpClient ライブラリを利用した方法から HttpURLConnection を利用する方法に変更 ( 以前は API Level 8 以上を対象としていました ) 11 Copyright (C) JSSEC All rights reserved.

13 第 6 版の特徴 Android 6.0 対応 Permission モデルの変更に対応 permission の protectionlevel 変更ネットワーク系の permission は軒並み normal へ!? 新しい Permission Model アプリ実行中に必要なタイミングでユーザー許諾を得る指紋認証を使ったアプリ Android L までの新規項目追加 Lollipop で刷新された Notification まわり getrunningappprocess() 仕様変更 WebView に追加された最新機能の注意点 13 Copyright (C) JSSEC All rights reserved.

17 新しい Permission Model 保護レベルが dangerous の permission のみ影響 1 実行中の必要に応じたユーザー許諾 2 Permission Group 単位での権限管理同じ Permission Group に属する permission は一度の要求で全て grant される 3 ユーザーによる許可の取り消し (revoke) targetsdk が Android M より前のバージョンでも Android M 端末上ではユーザーは権限を revoke できる Android M より前の OS の動作する端末上では新しいモデルは適用されない 17 Copyright (C) JSSEC All rights reserved.

18 権限要求用のAPIを呼び出す以下のメソッドで権限を要求する Activity.requestPermissions(String[], int) Fragment.requestPermissions(String[], int) 第一引数で必要なpermissionを列挙第二引数でコールバックに渡すリクエストコードを指定 startactivityforresult onactivityresult とよく似ています // READ_CONTACTSを要求する例 requestpermissions( new String[] {Manifest.permission.READ_CONTACTS}, REQUEST_CODE); こんな感じのダイアログが出ますレイアウトは変更できません -スマートフォンもっと安全安心に- 18 Copyright (C) JSSEC All rights reserved.

19 結果をコールバックで受け取る権限要求用APIを呼び出した Activity/Fragment のコールバックで結果を受け取れます Activity.onRequestPermissionsResult Fragment.onRequestPermissionsResult 引数にそれぞれリクエストコード要求した権限(String配列) 結果 (Granted/Denied)が渡されるユーザーの選択後に呼び出される許可した場合 permissions = [READ_CONTACTS], results = [PERMISSION_GRANTED] となる // READ_CONTACTSの例 public void onrequestpermissionsresult(int reqcode, String[] permissions, int[] results) { // 結果をみて処理を進める } -スマートフォンもっと安全安心に- 19 Copyright (C) JSSEC All rights reserved.

20 ( 最低限度 ) Android 6.0 に対応するために Android M の端末上で動作する ( 落ちない ) アプリにするために最低限下記の対応が必要となります dangerous レベルの permission が必要なアプリは Activity, Fragment で requestpermissions を呼び出し onrequestpermissionsresult をオーバーライドする Service, Provider などで権限の必要な API を呼び出す場合 Context.checkSelfPermission で権限が付与されているか確認してから API を呼ぶ Provider の場合は getcontext().checkselfpermission( ) 20 Copyright (C) JSSEC All rights reserved.

22 指紋認証 (Fingerprint) Android 6.0 (API Level 23) 以降 22 以前との互換性は FingerprintManagerCompat クラスを使用することで吸収可能 Fingerprint 機能が端末にないと使用不可 FingerprintManager.isHardwareDetected() ロックが設定されていないと使用不可 KeyguardManager.isKeyguardSecure() Fingerprint が登録 (Enroll) できない指紋が登録されていないと使用不可 FingerprintManager.hasEnrolledFingerprints () 22 Copyright (C) JSSEC All rights reserved.

アプリが指紋認証を使う目的アプリが端末ユーザーを簡易的に認証するため端末ユーザーのみ実行可能な機能を保護したい機能実行時の認証

指紋認証の特徴 ID/Password に比べて [ 良い点 ] 入力が容易 (

24 指紋認証の特徴 ID/Password に比べて [ 良い点 ] 入力が容易 ( 覚える必要もない ) 端末へのアクセスが必要 ( 攻撃を受けにくい ) [ 悪い点 ] 認証としての強度は ( 実は ) 弱い秘匿困難性人工物による認証認証精度指紋が漏れてても変えられない非交換性生体変化や環境条件による識別精度の低下パスワードのように一意に決まらないケガなどで認証ができなくなる可能性 24 Copyright (C) JSSEC All rights reserved.

Fingerprint Architecture 最終的には暗号鍵と連携して動作 User App Device keystore FingerprintManager Fingerprint

fingerprintd FingerprintDaemonPro xy Fingerprint HAL android.permission.

25 Fingerprint Architecture 最終的には暗号鍵と連携して動作 User App Device keystore FingerprintManager Fingerprint Sensor authenticate enroll etc Implementations are different according to makers and operators. addauthtoken if verified. IFingerprintService SystemServer FingerprintService Kernel/TEE Template s IFingerprintDaemon fingerprintd FingerprintDaemonPro xy Fingerprint HAL android.permission.use_fingerprint (normal) is needed to authenticate android.permission.manage_fingerprint (signature) is needed to enroll/remove -スマートフォンもっと安全安心に- Kernel and/or TEE 25 Copyright (C) JSSEC All rights reserved.

26 ( 参考 )AndroidKeyStore 機能鍵の管理 (KeyStore): Import/Export (Store/Load) 鍵の生成 (KeyGenerator) 鍵の使用 (Cipher/Signature/Mac): 暗号化復号署名検証指紋認証との関係上記で暗号鍵を生成 or 既存の鍵を登録するとき生成 or 登録以後に鍵を使うに際の条件として指紋認証 ( で認証すること ) を条件に設定できる 26 Copyright (C) JSSEC All rights reserved.

27 アプリが指紋認証を使うときは指紋認証の弱い点を考慮する指紋認証だけに頼る設計にはしない認証ができなくなった ( 生体が変化するなど ) でも別手段で機能を利用できるようにする機密性の高い情報機能は ( 直接 ) 扱わない課金や決済といった重要な情報機能を扱う際はかならず他の認証方法と併用する正しい暗号の使い方も理解する指紋認証は暗号処理と密接に関連するため正しい暗号の使い方も理解しておく必要があるアルゴリズム選択鍵長の設定端末内での鍵管理方法暗号機能自体の認証 27 Copyright (C) JSSEC All rights reserved.

今どきの Notification( 通知 ) 画面ロック中にも Notification( 通知 ) 表示 Notification が表示

30 Notification Visibility Notification を表示する条件設定 Visibilityの値 Public Private Secret Notification の振る舞いすべてのロック画面上で Notification が表示されるすべてのロック画面上で Notifcation が表示されるがパスワード等で保護されたロック画面 ( セキュアロック ) 上では Notification のタイトルやテキスト等が隠される ( プライベート情報が隠された公開可能な文に置き換わる ) パスワード等で保護されたロック画面 ( セキュアロック ) 上では Notification が表示されなくなる ( セキュアロック以外のロック画面では Notification は表示される ) Android 6.0 現在の Visibility のデフォルト値は Private 30 Copyright (C) JSSEC All rights reserved.

32 Notification のセキュリティセキュアロックで表示する Notification にユーザーのプライバシー情報が含まれていると画面ロック解除できなくても端末に近寄れる人 ( 拾った人等 ) にプライバシー情報が見られてしまう個人情報漏えい Notification が画面ロック中にも表示されるようになったことで新たなセキュリティ問題が発生する可能性が生まれた 32 Copyright (C) JSSEC All rights reserved.

33 Notification の注意点 Visibility と通知内容表示しようとしている情報は設定した Visibility に沿った内容であるか確認デフォルト値に頼らず明示的に Visibility を設定 Private Notification の使い方 Private Notification は内部に Public Version を保持画面ロック中にユーザーに見せる情報とロック解除後に見せる情報を正しく切り分け設定すること例 : メール情報画面ロック中 : メール通知があったことのみを通知ロック解除後 : メールの本文や送信者などの情報を通知 ( 可能 ) 33 Copyright (C) JSSEC All rights reserved.

執筆へのご協力をお願いしますご協力いただける方は下記の要領でご連絡ください 1. JSSEC会員でない方はAndroid 2. セキュリティ部へご参加ください会員かどうかは下記URLで確認 http://www.jssec.org/members/ Androidセキュリティ部への参加は下記URL からできます https://groups.google.

35 執筆へのご協力をお願いしますご協力いただける方は下記の要領でご連絡ください 1. JSSEC会員でない方はAndroid 2. セキュリティ部へご参加ください会員かどうかは下記URLで確認 Androidセキュリティ部への参加は下記URL からできます右の(4)では Androidセキュリティ部と記載してください次の書式でメール送信してください To: Subject: JSSECセキュアコーディングG参加本文: (1) Google account: (メアドを記載) (2) First name: (名前を記載) (3) Last name: (名字を記載) (4) Organization: (組織名を記載) (5) Git access: (必要 or 不要) 各種アカウント発行後メール返信にてご連絡いたします (1)はGmailメアドまたはご自身のメアドをGoogleアカウント化したもの (4)は下記URLページ内から選択ご協力お願い致します -スマートフォンもっと安全安心に- 35 Copyright (C) JSSEC All rights reserved.

2018/3/9 一般社団法人日本スマートフォンセキュリティ協会 2 アジェンダセキュアコーディングガイドについて第 9 版の改定内容ガイド HTML 版のご紹介

2018/3/9 一般社団法人日本スマートフォンセキュリティ協会 1 セキュアコーディングガイド第 9 版 (Android 8.0 対応 ) セキュアコーディング WG リーダー安藤彰 2018/3/9 一般社団法人日本スマートフォンセキュリティ協会 2 アジェンダセキュアコーディングガイドについて第 9 版の改定内容ガイド HTML 版のご紹介

スマホアプリセキュリティの 現状課題と解決策

スマホアプリセキュリティの現状課題と解決策