슬라이드 1

Lead the world with trusted software アプリの改ざん防止ソリューション Teruten MAM(Mobile Application Management) 株式会社テルテン / 2014. 3

CONTENT Overview Teruten MAMのセキュリティ 定 義 Teruten MAMの 改 ざん 防 止 プロセス Teruten MAMの 主 な 機 能 Teruten MAMの 詳 細 機 能 (Android) Teruten MAMの 詳 細 機 能 (ios) Teruten MAMの 特 徴 Teruten MAMの 導 入 事 例 Teruten MAMの 対 応 環 境

< 悪 意 のあるアプリTOP10の64%はアプリ 改 ざん> モバイルマルウェアの 増 加 により それに 対 するセキュリティ 対 策 が 必 要 64% FakeInst: 34% OpFake: 30% FakeInst: 合 法 なアプリに 偽 装 すること OpFake: 合 法 アプリに 偽 装 して 他 の 悪 意 のある 機 能 を 実 行 すること <Trend Micro 2013 年 第 2 四 半 期 脅 威 動 向 > 2

金 融 情 報 流 出 により 個 人 や 企 業 の 経 済 的 な 損 失 を 誘 発 ハッキング 状 態 で 強 制 課 金 により 収 益 奪 取 公 認 認 証 書 奪 取 写 真 パスワード 取 引 情 報 などの 金 融 情 報 奪 取 SNS 写 真 アプリである Instagram の 改 ざんアプリが 登 場 し 強 制 課 金 することで 収 益 を 奪 取 する 事 件 が 発 生 (2012.04) アプリのソース 情 報 流 出 で 著 作 権 侵 害 と 損 失 もたらす 企 業 の 機 密 情 報 や 顧 客 の 個 人 情 報 の 流 出 アイラブコーヒー の 不 正 コピーアプリが 登 場 アイラブコーヒーのソースコードをハッキングして コーヒーラバー という 不 正 コピーアプリを 開 発 アングリ バード アプリに 悪 意 のあるコードを 挿 入 して ユーザーの 個 人 情 報 を 流 出 (2012.04) 3

ハッカーが 銀 行 モバイル アプリの 原 本 ファイル(apk) を 確 保 する 逆 コンパイルのツールで apkファイルを 解 凍 ソースコードのビューア を 利 用 して 確 認 ソースコードファイルに マルウェアを 挿 入 または 改 ざんする ハッカーに 個 人 情 報 や 金 融 情 報 を 流 出 ユーザーが 当 該 アプリを インストール マーケットに 登 録 or SMS 配 布 正 常 ファイルに 変 換 する コンパイル(Compile) 実 施 安 全 な 金 融 取 引 環 境 を 作 るためにアプリケーションの 整 合 性 検 証 の 対 策 が 必 要 電 子 金 融 取 引 プログラムへのセキュリティ 脅 威 に 対 し アプリケーションの 整 合 性 を 検 証 することができる 方 法 機 能 を 提 供 しなければならない リバースエンジニアリング 逆 コンパイルなど アプリの 改 ざんに 対 する 対 策 が 必 要 l コンパイル: ソースコードをEXEファイルに 変 換 する 作 業 のことを 意 味 する 2 逆 コンパイル: EXEファイル( 実 行 ファイル)をソースコードに 逆 に 変 換 すること (コンパイルの 反 対 語 ) 3 リバースエンジニアリング: 既 存 の 製 品 を 解 体 分 解 して 製 品 の 仕 組 みや 構 成 部 品 技 術 要 素 などを 分 析 する 手 法 のことである ソフトウェアを 逆 コンパイルしてソースコードを 明 らかにすること 4

1. Teruten MAMのセキュリティ 定 義 Teruten MAMは 三 つの 段 階 を 経 てアプリケーション 整 合 性 の 検 証 プロセスを 行 うため アプリケーションが 不 正 に 改 ざん されることを 事 前 に 防 止 します また リバースエンジニアリングとデバッグを 遮 断 してアプリケーションを 安 全 に 保 護 します 暗 号 化 したデータ 伝 達 Teruten MAM for Mobile を 検 証 した アプリを 使 用 Teruten MAM for Server 5

2. Teruten MAMの 改 ざん 防 止 プロセス Teruten MAMは3 段 階 の 整 合 性 検 証 プロセスを 提 供 して アプリケーションやデータの 改 ざんを 源 泉 的 に 遮 断 します 顧 客 社 のアプリ 認 証 サーバー 顧 客 社 のサービスサーバー 1~2 回 目 の 認 証 (アプリ データの ハッシュ 値 の 検 証 ) 1アプリ データの 改 ざん 検 証 の 確 認 要 請 2 改 ざん 検 証 (アプリとデータのハッシュ 値 比 較 ) 一 致 する 場 合 3 認 証 コード 生 成 (Randomで 生 成 ) 4 認 証 コード 送 信 5 認 証 コード 確 認 3 回 目 の 認 証 ( 認 証 コートの 認 証 ) 一 致 する 場 合 6アプリ 実 行 6 * ハッシュ 値 とは? デジタル 電 子 指 紋

3. Teruten MAMの 主 な 機 能 Android ios 整 合 性 の 検 証 アプリ 整 合 性 の 検 証 データ 整 合 性 の 検 証 アプリ 改 ざんの 迂 回 遮 断 ( 認 証 コード 利 用 ) 整 合 性 の 検 証 アプリ 整 合 性 の 検 証 データ 整 合 性 の 検 証 アプリ 改 ざんの 迂 回 遮 断 ( 認 証 コード 利 用 ) ソースコード 難 読 化 リバースエンジニアリング / 逆 コンパイル 防 止 デバッグ 防 止 Root 化 検 知 Emulator 検 知 USB 検 知 デバッグ 防 止 Jailbreak 検 知 管 理 者 ユーザのポリシー 設 定 監 理 者 ページ 提 供 管 理 者 ユーザのポリシー 設 定 アプリ データ 整 合 性 のポリシー 設 定 端 末 のポリシー 設 定 イベント 検 索 監 理 者 ページ 提 供 アプリ データ 整 合 性 のポリシー 設 定 端 末 のポリシー 設 定 イベント 検 索 統 計 資 料 提 供 統 計 資 料 提 供 自 動 アップデート サーバー 側 でモジュール 修 正 時 に Clientへ 自 動 に 適 用 7

4. Teruten MAMの 詳 細 機 能 (Android)

4. Teruten MAMの 詳 細 機 能 (Android) (1)アプリの 整 合 性 検 証 1 段 階 認 証 :アプリの 整 合 性 検 証 Teruten MAMはアプリケーションのハッシュ 値 を 比 較 して 改 ざん 可 否 を 判 読 し 改 ざんされた 場 合 はアプリケーションの 実 行 を 遮 断 します 顧 客 社 のアプリ (Teruten MAM for Mobile) 認 証 サーバー (Teruten MAM for Server) 1アプリのハッシュ 値 生 成 (SHA 256) 事 前 にアプリのハッシュ 値 を 生 成 し 保 存 (SHA256) 比 較 2ハッシュ 値 暗 号 化 3 暗 号 化 済 みのハッシュ 値 送 信 4ハッシュ 値 の 比 較 で 整 合 性 検 証 Yes No データの 整 合 性 検 証 アプリの 実 行 遮 断 9

4. Teruten MAMの 詳 細 機 能 (Android) (2)データの 整 合 性 検 証 2 段 階 認 証 : データの 整 合 性 検 証 Teruten MAMはデータ(ソース コンテンツなど)のハッシュ 値 を 比 較 して 改 ざんの 可 否 を 判 読 し 改 ざんされた 場 合 は そのアプリケーションの 実 行 を 遮 断 します 顧 客 社 のアプリ (Teruten MAM for Mobile) 認 証 サーバー (Teruten MAM for Server) 1アプリのハッシュ 値 生 成 (SHA 256) 事 前 にアプリのハッシュ 値 を 生 成 し 保 存 (SHA256) 比 較 2ハッシュ 値 暗 号 化 3 暗 号 化 済 みのハッシュ 値 送 信 4ハッシュ 値 の 比 較 で 整 合 性 検 証 Yes No 認 証 コード 生 成 アプリの 実 行 遮 断 10

4. Teruten MAMの 詳 細 機 能 (Android) (3) 改 ざんの 迂 回 遮 断 3 段 階 認 証 : 認 証 コードを 利 用 した 改 ざんの 迂 回 を 遮 断 アプリケーションの 改 ざん 迂 回 接 続 を 防 ぐために 認 証 コードを 利 用 した 認 証 を 行 います 顧 客 社 アプリ 認 証 サーバー 顧 客 社 のサービス サーバー 3アプリ 起 動 時 に 暗 号 化 した 認 証 コードを 顧 客 社 の サービスサーバーに 送 信 2 伝 達 l1 次 認 証 の 成 功 時 に 認 証 コードを 生 成 及 び 暗 号 化 ** Randomで 生 成 5 認 証 コード 比 較 4 暗 号 化 した 認 証 コード 伝 達 6 一 致 する 場 合 はアプリの 実 行 許 可 Yes No アプリの 起 動 遮 断 11

4. Teruten MAMの詳細機能(Android) (4)リバースエンジニアリング 逆コンパイル防止 ソースコード難読化でリバースエンジニアリング 逆コンパイル防止 ソースコードをDexGuardで難読化してリバースエンジニアリングと逆コンパイルによるアプリの改ざんを防止します ハッカーのリバースエンジニアリング過程 コンパイル ソースコード (jar C C++) アプリ分析 実行ファイル (apk) (逆コンパイル) リパッキ ジング 改ざんされた 実行ファイルを マーケットに登録 ソースコードの難読化でアプリが分析できない * ソースコード難読化適用 - Android: DexGuard - ios: インライン関数適用 顧客社アプリのソースコード難読化のためのガイドやマニュアルを提供 * 主要用語の定義 リバースエンジニアリング 既存の製品を解体 分解して 製品の仕組みや構成部品 技術要素などを分析する手法のことである ソフトウェアを逆コンパイルしてソースコードを明らかにすること ②逆コンパイル EXEファイル(実行ファイル)をソースコードに逆に変換すること (コンパイルの反対語) ③ソースコード難読化: ソースコードを読みにくくする作業のこと 12

4. Teruten MAMの詳細機能(Android) (5)デバッグ防止 Teruten MAMは不正OS(Root化)やUSB Emulatorを検知してアプリのデバッグを防止します! Root化した端末が 検知されました アンドロイドフォンをRoot化します Android 2.0-2.2 スーパーユーザー権限 Root獲得 Root削除 デバッグ プログラムのミスや欠陥をチェックするなど プログラムが正常なのかを逆に分析すること ②Root化 Androidデバイスで最高管理者権限を得ることで システムファイルにアクセスしてソフトウェアを変更可能にすること 13

4. Teruten MAMの詳細機能(Android) (6)管理者ページ提供 ポリシー設定 アプリケーションやデータに対するポリシーを設定できるWeb基盤の管理者ページを提供します 管理者のポリシー設定 ユーザのポリシー設定 アプリやデータに対する整合性ポリシー設定 デバイスポリシー設定 管理者の個人情報修正 登録されている端末の管理機能提供 14

4. Teruten MAMの詳細機能(Android) (6)管理者ページ提供(続き) イベント検索 スマートデバイスで発生したイベント(アプリケーション/データの改ざん 不正OS)が検索できる管理者ページを提供します アプリの改ざんなど イベントを検索 正常のアプリ検索 発生したイベント情報に対し 統計資料を提供 グラフ ファイル保存など ユーザーの利便性向上 15

4. Teruten MAMの詳細機能(Android) (7)モジュールの自動アップデート機能 モジュールの自動アップデート MAMサーバーモジュールとクライアントのリアルタイム連動によりサーバー側でセキュリティモジュールを更新する場合は 自動にクライアントに適用されます 自動アップデート Teruten MAM Server Teruten MAM Client セキュリティモジュール セキュリティモジュール Clientセキュリティモジュールの修正に伴うアプリケーションの再配布が不要 Clientセキュリティモジュールを最小化してスマートデバイスへの負荷を軽減 メンテナンスが容易 16

5. Teruten MAMの 詳 細 機 能 (ios)

5. Teruten MAMの 詳 細 機 能 (ios) (1)アプリの 整 合 性 検 証 1 段 階 認 証 :アプリの 整 合 性 検 証 Teruten MAMはアプリケーションのハッシュ 値 を 比 較 して 改 ざん 可 否 を 判 読 し 改 ざんされた 場 合 はアプリケーションの 実 行 を 遮 断 します 顧 客 社 のアプリ (Teruten MAM for Mobile) 認 証 サーバー (Teruten MAM for Server) 1アプリのハッシュ 値 生 成 (SHA 256) 事 前 にアプリのハッシュ 値 を 生 成 し 保 存 (SHA256) 比 較 2ハッシュ 値 暗 号 化 3 暗 号 化 済 みのハッシュ 値 送 信 4ハッシュ 値 の 比 較 で 整 合 性 検 証 Yes No データの 整 合 性 検 証 アプリの 実 行 遮 断 18

5. Teruten MAMの 詳 細 機 能 (ios) (2)データの 整 合 性 検 証 2 段 階 認 証 : データの 整 合 性 検 証 Teruten MAMはデータ(ソース コンテンツなど)のハッシュ 値 を 比 較 して 改 ざんの 可 否 を 判 読 し 改 ざんされた 場 合 は そのアプリケーションの 実 行 を 遮 断 します 顧 客 社 のアプリ (Teruten MAM for Mobile) 認 証 サーバー (Teruten MAM for Server) 1アプリのハッシュ 値 生 成 (SHA 256) 事 前 にアプリのハッシュ 値 を 生 成 し 保 存 (SHA256) 比 較 2ハッシュ 値 暗 号 化 3 暗 号 化 済 みのハッシュ 値 送 信 4ハッシュ 値 の 比 較 で 整 合 性 検 証 Yes No 認 証 コード 生 成 アプリの 実 行 遮 断 19

5. Teruten MAMの 詳 細 機 能 (ios) (3) 改 ざんの 迂 回 遮 断 3 段 階 認 証 : 認 証 コードを 利 用 した 改 ざんの 迂 回 を 遮 断 アプリケーションの 改 ざん 迂 回 接 続 を 防 ぐために 認 証 コードを 利 用 した 認 証 を 行 います 顧 客 社 アプリ 認 証 サーバー 顧 客 社 のサービス サーバー 3アプリ 起 動 時 に 暗 号 化 した 認 証 コードを 顧 客 社 の サービスサーバーに 送 信 2 伝 達 l1 次 認 証 の 成 功 時 に 認 証 コードを 生 成 及 び 暗 号 化 ** Randomで 生 成 5 認 証 コード 比 較 4 暗 号 化 した 認 証 コード 伝 達 6 一 致 する 場 合 はアプリの 実 行 許 可 Yes No アプリの 起 動 遮 断 20

5. Teruten MAMの詳細機能(iOS) (4)デバッグ防止 Teruten MAMは不正OS(Jailbreak)を検知してそのアプリがセキュアな環境で実行できるように対応します! iphoneをroot化します Jailbreakした端末 が検知されました ios Jailbreak検知* - Jailbreakした端末では アプリを 起動できないようにポリシー設定 iphone 4.0 スーパーユーザー権限 権限獲得 使用終了 Jailbreakとは? iosデバイスで最高管理者権限を得ることで システムファイルにアクセスしてソフトウェアを変更可能にすること 21

6. Teruten MAMの 特 徴 DexGuardを 利 用 したソースコード 難 読 化 * 他 社 方 式 のProguardは 関 数 と 変 数 の 名 称 を 変 更 する 手 法 によって 逆 コンパイルが 可 能 で ソースコードが 漏 れるリスクが 内 在 3 段 階 の 認 証 を 提 供 して 改 ざんを 根 本 的 に 遮 断 データの 改 ざん 防 止 機 能 提 供 - アプリケーションで 使 用 するデータ(Webソース コンテンツなど)の 改 ざん 可 否 を 判 別 検 証 した 改 ざん 防 止 機 能 ソリューション 提 供 - MetLife 生 命 やS-oil 韓 国 証 券 電 算 院 など 7つの 証 券 会 社 で 安 定 的 に 使 用 中 - 国 家 情 報 院 金 融 委 員 会 などのセキュリティガイドライン 準 拠 * 推 奨 暗 号 アルゴリズム(SHA-256ハッシュ 関 数 AES 暗 号 化 ) 使 用 数 多 くのスマートデバイスに 対 応 - 2014 年 2 月 現 在 約 150 個 端 末 (ios/android)に 対 応 22

7. Teruten MAMの 導 入 事 例 * 保 険 証 券 ECなどの 金 融 サイト 多 数 23

8. Teruten MAMの 対 応 環 境 項 目 推 奨 環 境 Android Android 2.3 以 上 ios ios 4.3 以 上 Server WAS Tomcat Weblogicなど Server DB MS-SQL MySQL Oracle DB2など 24

Lead the world with trusted software ありがとうございます www.teruten.com 株 式 会 社 テルテン T. 03-6869-5100 / F. 03-6869-5101 e-mail. global@teruten.com 100-0013 東 京 都 千 代 田 区 霞 ヶ 関 3-3-2 新 霞 ヶ 関 ビル18 階