スマートフォンアプリ診断
iOSもしくはAndroidが搭載されたスマートフォンで利用するネイティブアプリケーションおよびAPIに脆弱性がないか専門のセキュリティエンジニアが診断します。
診断項目
ツールによる自動診断とセキュリティエンジニアによる高度な手動診断を組み合わせて診断を行います。
アプリケーション間通信
| 診断項目 | 診断方法 | 備考 |
|---|---|---|
| Activityの不適切な設定 | Activityが外部に公開されていると、端末内の他のアプリケーションから不正にActivityを利用されるリスクがあります。そのため、不要に公開されてしまっていないかを確認します。 | Android のみ |
| Serviceの不適切な設定 | Serviceが外部に公開されていると、端末内の他のアプリケーションから不正にServiceを利用されるリスクがあります。そのため、不要に公開されてしまっていないかを確認します。 | Android のみ |
| Content Providerの不適切な設定 | Content Providerが外部に公開されていると、端末内の他のアプリケーションから不正にContent Providerを利用されるリスクがあります。そのため、不要に公開されてしまっていないかを確認します。 | Android のみ |
| Broadcast Receiverの不適切な設定 | Broadcast Receiverが外部に公開されていると、端末内の他のアプリケーションから不正にBroadcast Receiverを利用されるリスクがあります。そのため、不要に公開されてしまっていないかを確認します。 | Android のみ |
| 重要情報のブロードキャスト | ブロードキャストされた情報は端末内の他のアプリケーションに取得される可能性があります。そのため、重要な情報が他のアプリケーションにブロードキャストされてしまっていないかを確認します。 | Android のみ |
| Activityの実装上の不備(intentの取り扱い) | Activityが外部からの不正なintentを受け取った際に、情報の漏洩や改竄が発生してしまわないかを確認します。 | Android のみ |
| Serviceの実装上の不備(intentの取り扱い) | Serviceが外部からの不正なintentを受け取った際に、情報の漏洩や改竄が発生してしまわないかを確認します。 | Android のみ |
| Content Providerの実装上の不備 | Content Providerが外部からの不正なコンテンツ操作のリクエストを受け取った際に、情報の漏洩や改竄が発生してしまわないかを確認します。 | Android のみ |
| Broadcast Receiverの実装上の不備 (intentの取り扱い) | Broadcast Receiverが外部からの不正なintentを受け取った際に、情報の漏洩や改竄が発生してしまわないかを確認します。 | Android のみ |
| カスタムURLの取り扱いにおける実装上の不備 | 端末内の他のアプリケーション(ブラウザで開かれるWEBアプリケーション含む)からの不正なカスタムURLによって情報が漏洩・改竄されてしまわないかを確認します。 |
設計・実装
| 診断項目 | 診断方法 | 備考 |
|---|---|---|
| WebViewを利用するコードの設計・実装不備 | WebViewを利用する際、内部プログラムとの連携部分などが適切に実装されていないと、外部のJavaScriptプログラムから内部の機能を悪用され、データの漏洩や改竄に繋がるリスクがあります。そこで、適切に外部プログラムに対する制御がされていることを確認します。 | |
| 不要な権限の要求 | 不要に権限を要求すると、アプリケーションが乗っ取られた際のリスクが増大します。また、不要にユーザーの個人情報を収集してるのでは無いかとユーザーからの信頼を失う可能性もあります。そのため、アプリケーションに不要と思われる権限を要求してしまっていないかを確認します。 | |
| データ・ロジック改竄によるアプリの不正利用 | ローカルに保存されたデータや通信データ等の改竄によって、通常は制限された機能等を不正に利用できてしまわないか確認します。 | |
| アプリケーションへの秘密情報埋め込み | アプリケーションファイルに秘密鍵などの本来は埋め込む必要のない情報が埋め込まれていると、攻撃者に漏洩するリスクがあります。そのため、そういった秘密情報が含まれてしまっていないかを確認します。 | |
| 不要なデバッグ設定 | デバッグ機能が有効になっていると、外部からアプリケーションの機能を悪用され、情報が漏洩・改竄されるリスクがあります。そのため、デバッグ機能が無効になっていることを確認します。 | |
| 不適切なバックアップ設定 | バックアップ設定が有効になっていると、内部データがクラウド等にバックアップされます。機密データの複製は意図せず漏洩のリスクを増大させるため、過剰なバックアップ設定がされていないかを確認します。 | Android のみ |
データの取り扱い
| 診断項目 | 診断方法 | 備考 |
|---|---|---|
| 不適切なファイル権限 | 外部ストレージなどに保存されたファイルのパーミッションが正しく設定されていないと、端末内の他のアプリケーションから不正に読み書きされるリスクがあります。そのため、正しく設定されていることを確認します。 | |
| 共有データ領域への重要情報保存 | 外部ストレージ領域等、端末内の他のアプリケーションから読み取れるデータ領域へ重要な情報を保存すると漏洩のリスクがあります。そのため、重要な情報が保存されてしまっていないか確認します。 | |
| ログへの重要情報の出力 | ログへの重要な情報の出力は、アプリケーション外部への情報の漏洩や、攻撃者への解析のヒントとなり得ます。そのため、個人情報や過度なデバッグ情報などがログに流れてしまってしないかを確認します。 | |
| 不要になったデータの残存 | 内部外部問わず、重要なデータは不要になったタイミングで端末上から破棄することで漏洩のリスクを低減することが可能です。そのため、端末上に不要になったデータが残存してしまっていないか確認します。 |
サーバー通信
| 診断項目 | 診断方法 | |
|---|---|---|
| 重要情報の平文送信 | 平文通信は信用できないネットワーク(フリーWi-Fi等)において盗聴のリスクがあります。そのため、重要な情報がサーバーとの間で平文で送受信されてしまっていないかを確認します。 | |
| 重要情報の外部送信 | 重要情報が、外部(第三者)のサーバーへ意図せず送信されてしまっていないかを確認します。 | |
| SSL/TLS証明書検証の不備 | 適切にSSL/TLS証明書の検証を行わないと、中間者攻撃により盗聴や改竄のリスクがあります。そのため、正しく検証されていることを確認します。 | |
| 不適切なネットワークセキュリティ設定 | ネットワークセキュリティに関する設定(ATS/networkSecurityConfig)を独自で変更している場合、安全ではない通信が発生するリスクがあります。そのため、そのような設定値になってしまっていないかを確認します。 |
サンプル報告書のダウンロード
診断をご利用いただいた開発組織のみなさま
株式会社タイミー
「開発者フレンドリー」な診断体験が決め手。柔軟なコミュニケーションで定型メニューの枠を超え潜在リスクを洗い出す
「開発者フレンドリー」な診断体験が決め手。柔軟なコミュニケーションで定型メニューの枠を超え潜在リスクを洗い出す
株式会社カンム
資産形成できるクレジットカード「Pool」スマホアプリのホワイトボックス診断 カンムがChainopticを選んだ理由
資産形成できるクレジットカード「Pool」スマホアプリのホワイトボックス診断 カンムがChainopticを選んだ理由
東京ガス株式会社
東京ガスのEV充電サービス「EVrest」のセキュリティ診断を実施。「迅速に診断を実施でき、かつ『情報セキュリティサービス基準』に適合しているベンダーを探していた」
東京ガスのEV充電サービス「EVrest」のセキュリティ診断を実施。「迅速に診断を実施でき、かつ『情報セキュリティサービス基準』に適合しているベンダーを探していた」
SBIデジトラスト株式会社
FIDO認証/CIBAを備えた金融機関向け先進プロダクトのセキュリティ診断事例。「ツールでは対応できない高度な領域を継続的にサポートしてほしい」
FIDO認証/CIBAを備えた金融機関向け先進プロダクトのセキュリティ診断事例。「ツールでは対応できない高度な領域を継続的にサポートしてほしい」
株式会社スマートバンク
普段から高いレベルでセキュリティを実践するPCI DSS取得企業としても、満足できる体験の診断だった
普段から高いレベルでセキュリティを実践するPCI DSS取得企業としても、満足できる体験の診断だった
フリー株式会社
freeeがお試し発注から年間契約締結へ。技術力重視でホワイトボックス診断を実施
freeeがお試し発注から年間契約締結へ。技術力重視でホワイトボックス診断を実施
料金・プラン
脆弱性診断
100万円〜
グレーボックスまたはブラックボックス形式で脆弱性診断を実施します。ご予算に応じて深刻度が高いと見込まれる箇所から優先的に診断し、ビジネスリスクの高い脆弱性を可能な限り検出します。OWASP Top 10やOWASP ASVS等でカバーされる典型的な脆弱性に加え、仕様を踏まえたビジネスロジックの脆弱性も検出対象です。
お見積もりは無料です。
診断のご依頼はお気軽にお問い合わせください。