「モバイルアプリ」を社内システムと安全に連携させるには？　脆弱性のつぶし方は？

モバイルアプリを開発する際に重要なのは、セキュリティだ。本稿ではコードレベルのセキュリティ確保や、バックエンドシステム／各種サービスとの接続時のセキュリティなどを取り上げる。

公開 2018年02月26日 05時00分

著者

Robert Sheldon

[TechTarget]

印刷する

セキュリティを重視したモバイルアプリ開発のベストプラクティスをチェック

　セキュリティはモバイルアプリケーション開発に欠かせない構成要素だ。だがセキュリティについての考慮事項は無数にあり、着手が難しいことも少なくない。

　モバイルアプリ開発におけるセキュリティ面でのチェックリストを紹介した「“危険なモバイルアプリ”の開発者にならないための5つのチェックリスト」では、開発当初からセキュリティを最優先にする戦略を立て、プロセス全体に強力な認証や認可の仕組みを実装する重要性を確認した。その後編にあたる本稿では、モバイルアプリのセキュリティに関する、その他の重要なベストプラクティスを確認する。

併せて読みたいお薦め記事

モバイルアプリ開発のノウハウ

モバイルアプリ開発事例

6．モバイルアプリに保護を組み込む

　開発チームがセキュリティに重点を置いてモバイルアプリ開発に取り組む場合、例えば以下の項目を考慮する必要がある。

コードの難読化
コードの暗号化
脆弱（ぜいじゃく）性の除去（ハードニング）
API（アプリケーションプログラミングインタフェース）の暗号化

　モバイルアプリが外部ソースからデータを受け取る場合は、不正なコマンドやスクリプトを送って想定外の動作をさせる「インジェクション」などの攻撃を避けるために、入力検証機能を含めるようにする。一定時間でセッション（一連の通信）を終了させる「セッションタイムアウト」を実装したり、暗号化通信プロトコル「SSL」「TLS」を使用していない外部サービスへのリンクを避けたりするのも効果的だ。

　改ざん検知や「デバッガー」の使用制限など、攻撃テクニックへの対処策の検討も求められる。JavaScriptを無効化したり、開発時にコードに組み込まれたバックドア（不正侵入に利用可能な“裏口”）を除去したりすることも有力な手段となる。

　モバイルアプリ開発のテクノロジーは急速に進化している。開発者はこうした変化に追従して、その時点で最も安全なテクノロジーを使用し、最新のベストプラクティスに基づいてコードを記述できるようにすべきだ。

7．バックエンドシステムのセキュリティを確保する

　企業の社内バックエンドシステムと接続するモバイルアプリは、新たな脆弱性を生み出す恐れがある。開発チームは、モバイルアプリが接続する全てのバックエンドシステムの潜在的なリスクを評価し、接続に利用するAPIに細心の注意を払う必要がある。

　基本とすべきなのは、必要最小限のリソースへのアクセス権限のみを付与する「最小権限の原則」だ。そうすれば承認を受けたアカウントでも、必要なリソースにしかアクセスできない。

　開発チームはセキュリティのテクノロジーを使用して、バックエンドシステムとの通信をエンドツーエンド（経路全体）で保護する必要がある。VPN（仮想プライベートネットワーク）やコンテナを利用すれば、さらに高いレベルのセキュリティを実現できる。ファイルサーバやアプリケーションサーバ、データベース管理システム（DBMS）など、モバイルアプリの接続先となる、あらゆる要素の保護が目標だ。

8．社外サービスの使用には細心の注意を払う

　モバイルアプリの接続先として、ベンダーが提供するサービスの利用を計画している場合は、そのサービスが自社のセキュリティ要件を満たしているかどうかを入念に確認すべきだ。開発チームは法的要件を考慮しながら、ベンダーがデータのセキュリティをどう確保し、プライバシーをどう保護しているのかを把握しなければならない。

　開発チームはモバイルアプリとサービス間を接続するAPIを保護し、APIを通じたモバイルアプリへの不必要なアクセスを防ぐ必要がある。ベンダーのサービスをどの程度制御できるか、ベンダーがセキュリティパッチをいつどのように適用するかといったことも明確にしておくべきだ。

9．テスト、レビュー、検証

　他の全てのアプリと同様、企業のITチームは、モバイルアプリを導入する前に脆弱性の存在を徹底的に調べることになる。品質保証チームは、コードの実行結果を検証する「動的テスト」と、コードの内容をチェックする「静的テスト」を実施する。メモリ内に不正なコードを書き込む「バッファオーバーフロー」の脆弱性、書式指定のある関数の特性を悪用した「書式文字列攻撃」（フォーマット文字列攻撃）につながる脆弱性など、コードレベルの脆弱性を探すためだ。議事攻撃を仕掛ける「ペネトレーションテスト」（侵入テスト）を用いて、認証、認可、セッション管理、データセキュリティに関する問題がないかどうかを調査することも重要になる。

　開発チームは評価プロセスを整備して、コードに脆弱性がないかどうかを調べるべきだ。コードのチェックは、一般的な問題やリスクの特定に役立つ。米国の「HIPAA」（医療保険の相互運用性と説明責任に関する法令）などプライバシー保護の法制度の順守が必要な場合は、テストプロセスやレビュープロセスでも、こうした法制度を考慮しなければならない。場合によってはモバイルアプリの専門知識を有するセキュリティの専門家に相談することも有効だと考えられる。

10．最後までセキュリティに配慮する

　モバイルアプリは開発したら終わりではない。テクノロジーが進化すれば、今まで見つからなかった脆弱性が明らかになったり、新たな脆弱性が出現したりする可能性がある。モバイルアプリの開発時にいくらセキュリティに注意を払ったとしても、それだけでは十分とはいえない。開発チームはモバイルアプリのセキュリティを適切かつ継続的に評価し、セキュリティの問題が生じたらすぐに対処できるように準備をしておくべきだ。

　OSやファームウェア、ライブラリなどにも適宜セキュリティパッチを適用する必要がある。モバイルアプリや周辺システムを定期的に監視して、セキュリティの問題や潜在的なリスクの存在を確認することも重要だ。管理者はエンドユーザーに対して、モバイルアプリへの初回ログイン時にパスワードを変更するよう求めるなど、セキュリティポリシーを順守するよう指導することになる。

　本稿で紹介したモバイルアプリ開発におけるセキュリティのベストプラクティスは、モバイルアプリのライフサイクル全体にわたってセキュリティを確保する上で大いに役立つだろう。

印刷する