アプリのリバースエンジニアリング

リバースエンジニアリングとは、完成したアプリを分解して内部の仕組みを理解することです。

攻撃者はこれを利用して、シークレットの発見、チェックの回避、脆弱性の発見を行います。

アプリはパッケージとして配布されます。AndroidではAPK、iOSではIPAが使われます。

これらは基本的にアーカイブであり、攻撃者は展開して中身を調査できます。

静的解析とは、アプリを実行せずに調査することです。

攻撃者はパッケージを展開し、そのファイル、リソース、コードを読み取って構造やロジックを把握します。

ツールを使うと、コンパイル済みのコードを読みやすい形式に戻せます。

Androidでは、jadxのようなツールがバイトコードをJava風のソースコードに変換し、アプリの動作を明らかにします。

攻撃者が最初に探すものの1つが、ハードコードされたシークレットです。

コード内に残されたAPIキーやURLは、逆コンパイルすれば簡単に見つかります。そのため、アプリ内にシークレットを隠す方法に頼ってはいけません。

動的解析では、アプリの実行中の動作を観察します。

攻撃者はネットワークトラフィック、メモリ、関数呼び出しを観察し、静的なコードだけではなく実際の値や動作を確認します。

Fridaのようなツールを使うと、攻撃者は実行中のアプリにフックし、その動作をリアルタイムで変更できます。

セキュリティチェックをスキップしたり、シークレットが使用される瞬間にその値を読み取ったりできます。

アプリを理解した攻撃者は、アプリを改ざんすることがあります。

コードを変更して再パッケージ化し、クラック版やトロイの木馬化されたバージョンを他のユーザーに配布します。

難読化は、コードの名前を変更したり複雑に変換したりして、読み取りにくくすることです。

リバースを不可能にはできませんが、攻撃者の作業を遅らせ、必要な労力を増やせます。

アプリは完全性チェックを使用して、改変されていないかどうかを確認したり、root化または脱獄されたデバイスを検出したりできます。

改ざんが見つかった場合、アプリは機密性の高い機能の実行を拒否できます。

重要な教訓は、クライアントはリバースエンジニアリングされる可能性があると想定することです。

秘密情報を保持し、重要な判断は、攻撃者が制御できないサーバー側で行ってください。

モバイルアプリのセキュリティを設計する際、最も安全な前提は何でしょうか。

攻撃者は、静的解析や動的解析、デコンパイラ、Fridaのようなフッキングツールを使ってアプリをリバースエンジニアリングし、秘密情報を見つけたり改ざんしたりします。

難読化と完全性チェックを使って攻撃を遅らせることはできますが、最終的にはクライアントではなくサーバーを信頼してください。