スマートフォンセキュリティ 2011 年 10 月 5 日 NSF in Kansai ラックホールディングス 株 式 会 社 山 城 重 成 株 式 会 社 カスペルスキー 前 田 典 彦 1
目 次 スマートフォンのプラットフォーム スマートフォンマルウェアの 実 例 アプリケーションの 信 頼 性 不 正 アプリによる 遠 隔 操 作 デモ 対 策 まとめ 2
スマートフォンプラットフォーム AndroidiOS ios WindowsPhone( 旧 Windows Mobile) BlackBerry Symbian 他 Palm, Brew... 3
それぞれの 特 徴 Android ios Windows Phone メーカ 複 数 Apple 社 複 数 脆 弱 性 対 応 メーカに 依 存 Appleが 対 応 端 末 OSメーカ Android Market インストール 方 法 On The Air AppStore MarketPlace キャリアマーケット アプリ 審 査 なし あり あり 4
スマートフォンセキュリティモデル BlackBerryモデル 通 信 アプリケーションともにOSメーカーの 一 元 管 理 をするこ とでセキュリティを 担 保 ios Windows Phoneモデル OSメーカーのアプリケーション 審 査 によるセキュリティを 担 保 Androidモデル PCと 同 様 に ユーザにてセキュリティ 対 策 を 行 う 5
ios JailBreak iosのアプリケーションはアップル プル 社 の 電 子 署 名 が 必 須 JailBreakはこの 制 限 を 外 すことを 指 す JailBreakをすると... アップル 社 が 認 可 してない(しない)アプリケーションをインスト ール 海 賊 版 アプリケーションの 動 作 ホーム 画 面 やロック 画 面 をはじめ UIそのものをカスタマイズ などなど 当 然 故 障 時 はメーカサポートが 一 切 受 けられなくなる 6
Android rooted root 化 すると... テザリングの 利 用 フォントやUIのカスタマイズ CPUのクロック 操 作 などなど フォレンジック 目 的 メモリダンプ /data 領 域 の 参 照 7
Jailbreak, root 化 による 影 響 マルウェア 感 染 の 場 合 システム 権 限 で 動 作 し 最 悪 の 場 合 復 旧 不 可 ウイルス 対 策 ソフトによる 駆 除 も 困 難 キャリアによる 交 換 修 理 対 応 となる IMEI 等 の 端 末 固 有 情 報 やOAuth 認 証 情 報 等 が 変 更 が 可 能 アプリ 開 発 者 はID 偽 装 を 考 慮 しなければならない 8
( 参 考 情 報 )Android 端 末 における 識 別 番 号 の 種 類 端 末 固 有 情 報 (IMEI:International I ti Mobile Equipment Identity) 端 末 そのものの 識 別 番 号 端 末 内 のバッテリを 外 すと 書 いてあることが 多 い 加 入 者 識 別 番 号 (IMSI:International Mobile Subscriber Identity) SIMカード 内 に 格 納 されている 識 別 番 号 Android ID /data/data/com.google.android.googleapps/databases/ accounts.db に 格 納 された 識 別 番 号 9
スマートフォンマルウェアの 実 例 10
Androidアプリケーションの 信 頼 性 11
パーミッション アプリケーション 毎 に 使 える 機 能 を 制 限 する アプリケーションをインストールする 際 に 表 示 される 画 面 端 末 内 データへのアクセス インターネットへ 通 信 設 定 の 変 更 電 話 の 発 信 ( 例 ) 名 刺 リーダアプリ 名 刺 画 像 取 り 込 み カメラの 利 用 アドレス 帳 へ 登 録 連 絡 先 データへの 書 込 12
パーミッション 確 認 画 面 13
Android Market アプリケーションの 審 査 は 基 本 的 には 無 い 開 発 者 登 録 の 際 にクレジットカードカード 番 号 を 求 めている 開 発 者 は 好 きなとき 好 きなようにアプリケーションを 公 開 できる 中 には HelloWorld なものも... も DroidDream(Rootcager)が 組 み 込 まれていたアプリは50 種 類 以 上 アプリによっては20 万 件 以 上 がダウンロードされた( http://goo.gl/kd3uv/) gl/kd3uv/) 14
不 正 アプリによる スマートフォン 遠 隔 操 作 デモ 15
デモ 概 要 1URLを 含 む メールを 受 信 2アクセス 攻 撃 者 が 用 意 した Webサーバ 3ボットアプリをインストール 4 遠 隔 操 作 16
対 策 まとめ 17
対 策 キャリア 編 リモートロックサービス キャリアマーケット au one market KDDI 研 究 所 によるセキュリティチェック メールスキャン docomo spモードのメールにウイルススキャン ウイルス 対 策 ソフトの 提 供 au TrendMicro 社 製 品 をオプション 提 供 docomo McAfee 社 製 品 を 無 償 提 供 SoftBank McAfee 社 製 品 をオプション 提 供 18
対 策 個 人 編 ウイルス 対 策 ソフトのインストール インストール 予 定 のアプリケーションのレビューを 確 認 し 信 頼 で きるか 判 断 キャリアマーケットの 利 用 インストール 時 に 表 示 されるアクセス 許 可 の 一 覧 を 確 認 USBデバッグの 無 効 化 19
まとめ 今 のスマートフォンセキュリティは 課 題 が 多 く Androidに 至 っては 利 用 者 自 身 によるセキュリティ 対 策 が 必 須 とはいえ 難 しいことをする 必 要 もなく 端 末 内 のアプリケーションやOSそのもののバージョンアップを 欠 かさず 行 う ウイルス 対 策 ソフトをインストールする アプリケーションは 正 規 の 手 段 正 規 のものをインストールする 興 味 本 位 でJailBreak rootedを rootedを 行 わない 万 が 一 に 備 え クラウドサービスを 活 用 する 企 業 ではMDM(Mobile Device Management)を 活 用 する 20