“危険なモバイルアプリ”の開発者にならないための5つのチェックリスト

モバイルアプリを開発する際、最優先すべきなのはセキュリティの確保だ。本稿で紹介するヒントを参考に、モバイルアプリのセキュリティを厳密に確保することをお勧めする。

公開 2018年02月21日 05時03分

著者

Robert Sheldon

[TechTarget]

印刷する

安全なモバイルアプリを開発する上での注意点とは

　企業がモバイルアプリケーション開発を進める上で、中心に据えるべきなのがセキュリティだ。ただし潜在する脆弱（ぜいじゃく）性の数は非常に多く、それぞれの脆弱性を突く攻撃に対処するのは難しい。

　モバイルアプリを利用せずにビジネスを遂行している企業は、現状ではほとんど存在しないだろう。中には機密性の高いデータを保存、表示、転送するモバイルアプリも少なからず存在する。こうしたモバイルアプリのセキュリティを適切に確保できていなければ、自社のリソースや個人情報が危険にさらされる恐れがある。問題が発生すれば、罰金や訴訟が発生したり、企業の評判が落ちたりする可能性がある。

　本稿では、開発チームがモバイルアプリを開発する際、セキュリティを確保するために参照すべき5項目のチェックリストを紹介する。

併せて読みたいお薦め記事

モバイルアプリ開発のノウハウ

モバイルアプリ開発事例

1．開発の初期段階からセキュリティに配慮する

　開発チームは開発の初期段階から、プロジェクトの最優先事項の1つとしてモバイルアプリのセキュリティを考慮する必要がある。セキュリティ以外の全ての事項は、「開発プロセスの各フェーズで、セキュリティが中心的な役割を担う」ことを前提とする。開発から導入の各段階で、モバイルアプリのセキュリティを監視する担当者を少なくとも1人指名すべきだ。

　開発当初からセキュリティを優先すれば、開発終盤にセキュリティの問題が発生することは少なくなる。終盤に発生した問題は、解決に多くのコストとリソースを必要とする。セキュリティ設計が不十分なモバイルアプリに、後からセキュリティを組み込もうとすると、パフォーマンスの問題、ビジネスプロセスの中断、ユーザーエクスペリエンス（UX：ユーザー経験価値）の低下につながる恐れがある。

2．OSや周辺要素を理解する

　ほとんどのモバイルアプリは、Googleの「Android」やAppleの「iOS」向けだ。Microsoftの「Windows」向けのモバイルアプリは比較的少なく、「BlackBerry OS」向けのモバイルアプリはさらに少ない。開発チームは、こうした複数のモバイルOS向けのモバイルアプリを開発するよう求められがちだ。各OSのセキュリティの仕組みを十分に理解し、カメラやGPS（全地球測位システム）などのデバイス機能の危険性を把握しなければならない。

　モバイルアプリの構築に用いる、以下のようなさまざまな要素の調査や評価も必要になる。

ソフトウェアライブラリ
API（アプリケーションプログラミングインタフェース）
SDK（ソフトウェア開発キット）
クロスプラットフォームフレームワーク（異なるOSやデバイスで利用できるモバイルアプリを開発するための、ライブラリやテンプレートなどの集合体）

　各要素に関して、セキュリティに関する既知の問題があるかどうか、どの程度普及しているかを把握する必要がある。各テクノロジーに対する開発コミュ二ティーの意見も、評価に当たって参考になる。

3．強力な「認証」と「認可」の仕組みを実装する

　モバイルアプリのセキュリティチェックリストで最も重要な手順の1つが、そのエンドユーザーが本人であることを確認する「認証」と、そのエンドユーザーの所属や役割に応じたアクセス制御を可能にする「認可」の強力な仕組みを実装することだ。プライバシー保護やセッション管理（ユーザー識別）、ID管理、デバイスのセキュリティ機能を考慮する仕組みが求められる。認証面ではID／パスワード認証だけに頼るのではなく、多要素認証を実装する必要がある。

　認証や認可の仕組みを実装する場合、開発チームは認可を実現する「OAuth 2.0」や、OAuth 2.0に認証機能を追加した「OpenID Connect」など、実証済みプロトコルの最新版を使用する必要がある。認証プロセスの各段階で、IDやパスワードといった認証情報を保護することも必要だ。モバイルアプリで機密度の高いデータを扱う場合は、新しい各セッションで、エンドユーザーにログインを求めるようにする。

4．通信のセキュリティを確保する

　ビジネス向けのモバイルアプリは、バックエンドのサーバやクラウドサービスなど、他のシステムと定期的に通信する。開発チームは、モバイルアプリの稼働中に全ての機密データを保護できるようにする必要がある。全ての通信が企業のファイアウォール内部で完結する場合でも同様だ。必要に応じて「SSL」「TLS」といった暗号化通信プロトコルを使用し、デジタル証明書を検証するプロセスを含めるようにする。

　モバイルアプリが使用する、全てのAPIを保護することも必要だ。通信を保護する「VPN」（仮想プライベートネットワーク）、改ざん検知に使える「JSON Web Token」（JWT）といったAPI保護に役立つテクノロジーに加え、OS固有のセキュリティ機能の採用を検討するのもよいだろう。例えばiOSのセキュリティ機能「App Transport Security」は、バックエンドサービスと通信するモバイルアプリに、SSL／TLS暗号化通信（HTTPS）の使用を強制する。プッシュ通知やテキストメッセージのような形態の通信を通じた、機密データの漏えいを防ぐ必要もある。

5．デバイス内にあるデータを保護する

　デバイス内のデータは、第三者によって読み取られる可能性がある。機密データをデバイスに保存するのは、極力避けた方がよい。保存が必要なデータは暗号化しなければならない。データ形式がファイルでもデータベースでも、それ以外でも同様だ。その際、鍵長256bitのAES（共通鍵暗号アルゴリズムの一種）など、最新かつ信頼性が最も高い暗号プロトコルを使用する。暗号鍵管理を盛り込むことも重要になる。

　モバイルアプリで機密データを表示する必要がある場合は、必要に応じてデータを隠し、クレジットカードや社会保障番号の下4桁など、一部だけを表示するようにする。個人情報を保護するために、米国の「HIPAA」（医療保険の相互運用性と説明責任に関する法令）や「PCI DSS」（PCIデータセキュリティ標準）といった業界規制を順守する必要もある。

印刷する