​

RiskFinder

アンドロイドアプリ脆弱性診断サービス

About RiskFinder

RiskFinderとは、アンドロイドアプリケーションの脆弱性を診断するWebサービスです。
RiskFinder専門知識は不要で、アプリケーションファイルとブラウザを準備するだけで、
すぐに診断結果が得られます。 セキュリティ事故防止の一環として必ずお役に立てるサービスです。

特徴

  • ブラウザのみで使用できるため、事前のセットアップは必要ありません。
  • プログラマ以外の方も使用できます。
  • ソースコードは必要ありません。
  • 脆弱性に加えマルウェアと間違われやすい項目、バグ等の品質に関する項目も検出します。
  • 総務省「スマートフォンプライバシーイニシアティブ」に沿うための情報を出力します。

背景

市場の拡大に伴い、セキュリティーマネージメントの最適化が課題となる

現在アンドロイドアプリケーションが数多くリリースされていますが、市場が急速に広がったため、アンドロイド技術者が不足し、技術情報の蓄積が遅れています。 またモバイルアプリケーションの製作は短納期が多く、バージョンアップも短いサイクルで行うなど従来のアプリ開発に比べ開発時間が多く取れません。 このため、アプリケーションにセキュリティホール（脆弱性）があったり、マルウェアと間違えられる可能性があるアプリが多く見られます。 このようなアプリケーションを公開すると企業イメージの悪化や最悪の場合炎上問題等が発生する可能性があります。 セキュリティに関する問題を検収時に発見するには、アンドロイドに関する詳しい知識が必要なため、発注者が行う受け入れテスト時に発見するのは非常に困難です。 RiskFinderを使用することににより、受け入れ過程でセキュリティチェックをする事が可能になり一定の品質にアプリケーションを保つ事が可能です。

特徴

ブラウザにファイルをアップするだけなので、誰でも使用できます。

ソースコードからの脆弱性検査では、コンパイラを用意し、ツールのインストール、ソースコードからコンパイル可能にするなど、開発の知識と事前準備が必要です。 RiskFinderではではこのような煩雑な作業は必要なく、誰でも直ぐに脆弱性の検証が可能です。

アプリケーションファイルのみで検証可能なので、ソースが必要ありません。

ソースが入手不可能な場合、最新のソースがわからない状態でも検証可能です。 アプリケーションが使用している、ライブラリ(広告モジュール等）についても検証可能です。

Webサービスなので常に最新のバージョンが使用できます。

アンドロイドＯＳは頻繁にアップデートされています。Webサービスなので最新のバージョンに対応した物を即時にご使用可能です。
(お客様のネットワーク内に構築する事も可能です）

「脆弱性」に加え「マルウェアと間違えられやすい項目」・「品質に関する項目」も検出します

インターネット上には、間違ったコードが散乱し拡散されています。これらのコードがそのまま使用される例が数多く見受けられます。 また、アンドロイドの知識が不十分のため無駄なパーミッションを付けたり、不必要な機能を入れる事でマルウェアと間違われるようなアプリも多く存在します。 RiskFinderでは脆弱性に加えこのような、アプリケーションの品質に関するチェックも行います。

利用シーン

代表的な例

  • アプリケーションを発注
  • アプリケーションを開発
  • MDM等社内での使用アプリの決定
  • アプリケーション紹介サイト

アプリケーション発注

ＩＴ業界以外の企業がアンドロイドアプリケーションをリリースする事が多くなってきています。 アンドロイドアプリケーション作成を協力会社に発注をした場合、納品されたアプリケーションの動作は確認しますが アプリケーションに脆弱性があるのかを確認するには、
アンドロイドに関する広い知識が必要です。 また脆弱性だけでなく、センシティブな利用者情報の取り扱いについても注意が必要です。
RiskFinderで出力されたレポートを元に協力会社と打ち合わせをすることで、ユーザに安心安全なアプリケーションを届ける事ができます。

アプリケーション開発

アプリケーション開発現場では、全てのメンバーがセキュリティに詳しいわけではありません。 また仕様変更に伴いパーミッションが必要でなくなった時に、Manifestファイルからの記述削除を忘れるなど、うっかりミスも存在します。
開発途中、納品前などにRiskFinderで脆弱性検査をすることで、品質の良いアプリケーションを納品する事が可能です。

MDM等社内で使用するアプリケーションの決定

MDM等で社内で使用するアプリケーションを選定する場合など、選定したアプリケーションがマルウェアであるかを確認する必要があります。 ウイルスチェックソフトでは、完全にマルウェアであるものは検出しますが、グレーゾーン（利用者の情報を取得するが、それが正しい目的に行われているかわからない）である物に対しては対処できず、グレーゾンである事も検出しません。
RiskFinderでは、グレーゾンのアプリケーションも検出し、そのアプリを採用するか採用しないかの手助けになる情報も提供します。

アプリケーション紹介サイト・紹介本

アプリケーションの紹介サイトや紹介本は、アプリケーションの普及に大きな影響力を持っています。 紹介される事で、ユーザがアプリケーションを信用し多くのユーザに使用される事になります。 しかしながら過去にマルウェアを紹介していまった例も見受けられます。 現在マルウェアのみならず、総務省でスマートフォンの利用者情報の取得に関しての問題も取り上げられるなど、グレーゾンアプリも大き注目を浴びています。 アプリケーションを紹介サイトは影響力が大きいので、マルウェアはもちろん行儀の悪いソフトを紹介にも注意をする必要があります RiskFinderでは、グレーゾンのアプリケーションも検出し、どのようなアプリケーションかを知るための情報も提供します。

検出項目

脆弱性検出項目の一例

  • Activityが持つ脆弱性について報告します。
  • Serviceが持つ脆弱性について報告します。
  • ContentProviderが持つ脆弱性について報告します。
  • Receiverが持つ脆弱性について報告します。
  • AndroidManifest.xmlを解析し脆弱性について報告します。
  • 使用しているPermissionについて詳しく解説します。
  • 使用できないPermissionを報告します。
  • 必要のないPermissionを報告します。
  • 外部記憶領域へのアクセスを報告します。
  • MODE_WORLD_READABLE/MODE_WORLD_WRITEABLEの使用を報告します。
  • プログラム内に含まれている文字列を全て出力する事でセキュアな情報が含まれていないかの確認できます。
  • Logの出力を報告します。
  • JavaScriptが使用可能なWebViewを報告します。
  • JavaScriptを使用しているAsset内Htmlファイルを報告します。
  • プログラム内に含まれているURLを検出する事で暗号化されていない通信経路を確認できます。
  • プログラム内に含まれているURLを検出する事で、必要ないサーバにアクセスしていないかを確認できます。
  • 暗号化ロジックを検出し、安全性の低い暗号化を使用していないかを確認できます。
  • その他、脆弱性に関する項目を多数報告します。

マルウェアと間違われやすい注意項目の一例

  • パーミッションの組み合わせを判断し、グレーゾーンアプリになっていないかを報告します。
  • 危険なパーミッションを使用している場合、回避案を提案します。
  • プログラム内に組み込まれているライブラリを検出する事で、ライセンス違反の確認ができます。
  • プログラム内に組み込まれているライブラリを検出する事で、危険なライブラリを報告します。
  • プログラム内に含まれる画像ファイルを確認する事で、ライセンス違反がないかの確認ができます。
  • 使用している広告ライブラリを報告します。
  • 使用している危険なライブラリを報告します。
  • 使用しているグレーゾーンのライブラリを報告します。
  • その他、注意項目を報告します。

品質に関する項目の一例

  • 証明書が適切に記載されているかの確認ができます。
  • AndroidManifest.xmlの不要な項目を報告します。
  • 外部記憶領域に「sdcard」アクセスしている古いコードを報告します。
  • 文字リテラルのスペルミスを報告します。
  • 実行時エラーとなる可能性を報告します。
  • アンドロイド推奨ルールからの逸脱の警告を報告します。
  • その他、品質に関する項目を多数報告します

その他機能

  • 検査結果はブラウザ上に表示されますが、ワードファイルとしてダウンロードする事が可能です。
  • 検査を行ったアプリケーションファイルのHash値を出力するで、後日対象ファイルの確認が可能です。
  • AndroidManifest.xmlを参照する事が可能です。
  • アプリケーション内で使用されている、Android APIを全て確認する事が可能です。
  • Assets、リソースファイルを直接確認可能です
  • NDKとしてどのようなライブラリが入っているかも可能です。