許可なくデータ送信するアプリも

iOSでも過信は禁物、モバイルアプリを脅かす5つの脆弱性

スマートフォンやタブレットなどのモバイル端末を危険にするのが、アプリケーションに潜む脆弱性だ。モバイル活用を進める上で知っておくべき5つの脆弱性を説明する。

公開 2012年12月17日 08時00分

[TechTarget]

印刷する Googleで優先するソースとして追加

　モバイル端末は、セキュリティ議論で常に取り上げられるテーマだ。ただし、攻撃を媒介する役割を果たしているのは、ほとんどがモバイルアプリケーションである。データストレージの悪慣行やマルウェア、サイドローディング、暗号化の不備などの全てが、モバイルアプリケーションに脆弱性をもたらす。

データストレージの悪慣行

　モバイルアプリケーションに脆弱性が存在する大きな理由の1つは、経験不足のプログラマーがデータストレージに関して悪い習慣を持っていることだ。SQLiteなどのデータベースを利用すれば、ローカル端末にコンパクトなデータを保持できる。プログラマーがそれらのデータをむき出しのテキストやXMLフォーマットで保存するようにしてしまうと、それらは判読可能なプレーンテキストファイルであるため、アプリケーションのデータへのアクセスを簡単に許してしまうことになる。

　ずさんな記述のアプリケーションでも実行してしまう、ロックされていないスマートフォンがあれば、端末に格納されたデータへアクセスするのは容易だ。モバイルアプリケーションに添付されたファイルを抽出し、照会するだけでよい。これで、アプリケーションに保存されているデータについて知りたいことは、全て分かる。もしデータベースがバックエンドシステムに接続していれば、さらに厄介なことになるだろう。モバイルアプリケーションにはこうした脆弱性があるため、機密性の高いデータは端末レベルで暗号化し、ネットワーク接続も同様に暗号化しなければならない。

モバイル端末からの情報漏えいを防止する暗号化アプリの重要性（ホワイトペーパー）
PR：「暗号化」「仮想化」で防ぐ、モバイル時代の一歩進んだ情報漏えい対策

マルウェアの混入

　Androidモバイルアプリケーションの脆弱性が、次第に大きな問題になってきた。米Googleのアプリケーションマーケット「Google Play」のオープンフォーマットが原因の1つだ。それ以外にも、アプリケーションの安全性が全く監視されず、ユーザーが勝手にアプリケーションをサイドロードできることが事態を悪化させている（※訳注）。米Googleは、マルウェア対策として「Google Bouncer」を開発した（参考：Androidの不正アプリは「Bouncer」で撲滅できるか）。ただしGoogle Playは、マルウェアが潜んだアプリケーションを完全に排除できているわけではない。悪意のあるモバイルアプリケーション開発者は、検出されないようにマルウェアを分割したり、人気のあるアプリケーションの名前をかたって、ユーザーにダウンロードさせたりしている。

※訳注：サイドロード：Google PlayやApple App Storeなどのオフィシャルなモバイルアプリケーション配信サービスを経由せずに、他の場所からアプリケーションを端末に直接インストールすること。

　また、Android OSの一貫性のないアップデートやパッチも問題だ。ユーザーがAndroidのタイムリーなアップデートを期待することはできない。Googleの「Nexus」シリーズを除き、通信キャリアがアップデートスケジュールをコントロールしているからだ。このことが、Android端末に最新の脆弱性対策を備えさせることを一層難しくしている。

　モバイルアプリケーションの脆弱性をカバーするマルウェア対策アプリケーションは、無料版とエンタープライズ向けの有料版がある。従業員のAndroid端末には、こうしたマルウェア対策を必須とすべきだ。ただ残念なことに、Android用のマルウェア対策アプリケーションは、Windowsのそれと違って、システムレベルのアクセスが許されていない。そのため、マルウェア対策アプリケーションが動作するサンドボックスでマルウェアをブロックするにも限界がある（参考：アプリの“自滅”でOS保護、進化する「サンドボックス」）。

どれを選ぶ？　Android端末向けセキュリティ対策ソフト比較

不正アクセス

　モバイルアプリケーションをインストールしたら、必ずアクセス許可を得ることを徹底する。Androidモバイルアプリケーションの脆弱性やマルウェアに関する最良の対策は、こうしたユーザー教育だ。どのようなアプリケーションでも、Android端末で他のアプリケーションやデータへアクセスする前に、ユーザーの許可を得る必要がある。メールに添付されたファイルを安易に開かないように教育するのと同じように、アクセスすべきでないデータにアクセスしたいとアプリケーションが要求してきたら、ユーザーに注意させなければならない。

　脆弱性に対処する必要があるのは、Androidアプリケーションに限らない。

　例えば、「Path」というモバイルアプリケーションは、友人との交流を深める新しい方法を提供する、素晴らしいユーザーインタフェースが高く評価された。ところが、誰かがそのアプリケーションのネットワークアクティビティを調べたところ、なんとユーザーの連絡先リストを丸ごとサーバへ転送していることが判明したのだ。iOSバージョンのPathは、全くユーザーの許可なく転送を実行していた。Pathの提供者は、ユーザーの個人情報を不正に収集していたことを謝罪せざるを得なかった。

　多くのユーザーは、自分の連絡先情報がどれほど脆弱な状態に置かれているのかを認識していない。だがアプリケーションの利用条件には、個人情報へのアクセスに関する真実が目立たないように書かれている。Pathがしたことは、熱心な開発者がユーザーエクスペリエンスの向上を図ろうとして起きた失敗の一例だ。ただし、道徳観のないアプリケーション開発者が、ユーザーの連絡先情報をスパムやマーケティング、あるいは犯罪行為に利用しないとも限らない。

暗号化の不備

　暗号化を用いないアプリケーションも問題を引き起こす。例えば、ソーシャルメディア「LinkedIn」のモバイルアプリケーションは、カレンダー統合機能が新たに組み込まれたとき、ローカルのカレンダーデータをLinkedInのサーバに転送していた。こうしたデータは、全てクリアテキストでネットワーク転送されていたので、誰もが閲覧できる状態だった。LinkedInのモバイルアプリケーションでは、連絡先データでも同様の問題が発生した。

　モバイルアプリケーション開発者が、共通の暗号化フレームワークを利用してユーザーのデータを保護するのが理想だが、まだ何も保証されていない。また、アプリケーション開発の透明性やアプリケーションの完全な分析なしに、こうしたフレームワークの詳細を決めることはほとんど不可能だろう。

同期によるデータ漏えい

　データをクラウドと同期させるアプリケーションの場合、データ漏えいが懸念される。クラウドストレージの「Dropbox」は、盗まれたパスワードで多くのユーザーのアカウント情報を流出させてしまった。幸いなことに、アカウント情報が流出したユーザーには、何通かのスパムメールが届いただけだった。だが他のアプリケーションも、DropboxのAPIを利用し、ユーザーの端末と何らかのサービスを同期させることが可能だ。この場合、ユーザーはほとんど認識することなく、Dropboxのセキュリティ問題に対してデータをさらけ出してしまう可能性がある。

　たとえ、ベストプラクティスのセキュリティポリシーを打ち出していても、ベンダーの保護メカニズムをチェックすることはできない。セキュリティ違反やパスワード問題が発生したとき、ベンダーはメールで確認作業をしている。「Gmail」「Hotmail」といったWebメールのアカウント再設定用リンクは、ほとんどのエンタープライズ環境において安全とはいえず、ハッキングされたら同期データの安全性はひとたまりもない。

　ユーザーには、全てのアプリケーションやサービスに同一のパスワードを使用することを止めさせよう。モバイルアプリケーションの脆弱性に対処するために、「1つのサイトに1つのパスワード」のルールを徹底する必要がある。もし可能であれば、IT部門がコントロールできないクラウドサービスに機密性の高い作業データを置かないよう、ユーザーに注意を促すべきだ。そして、完全なローカルコントロールを備えたエンタープライズシステムを配備しよう。

印刷する

この記事の著者

Eric Beehler

iOSでも過信は禁物、モバイルアプリを脅かす5つの脆弱性

関連記事

データストレージの悪慣行

関連記事

マルウェアの混入

関連記事

関連記事

不正アクセス

関連記事

暗号化の不備

同期によるデータ漏えい

この記事の著者

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓