安全でないストレージと通信

モバイルで最も一般的な脆弱性のうち、特に代表的なものが安全でないデータストレージと安全でない通信です。これらはOWASP Mobile Top 10にも含まれています。

どちらも、開発者がデバイスを過度に信頼し、データを適切に保護していないことに起因します。

アプリは/data/data/<package>/にデータを保存します。

• SharedPreferences：XML形式のキーと値のファイル
• SQLiteデータベース
• 内部ファイルと外部ファイル

ペネトレーションテスターは、それぞれを調べて平文で保存されたシークレットがないか確認します。

よくある問題は、SharedPreferencesやデータベースにパスワード、トークン、PIIを平文で保存することです。

root化されたデバイス、バックアップ経由、またはObjectionを使うことで、攻撃者はこれらを直接読み取れます。機密データは暗号化するか、安全なハードウェアに保持する必要があります。

外部ストレージ（SDカード領域）に書き込まれたデータは、古いAndroidでは全ユーザーから読み取り可能であり、ストレージ権限を持つすべてのアプリからアクセスできます。

機密ファイルをそこに保存すると、他のアプリにさらされます。ディスクに書き込まれるログも、同様の情報漏えいにつながります。

安全な選択肢には、Android Keystore（鍵をハードウェアに保存し、アプリに公開しない）やEncryptedSharedPreferencesがあります。

Keystoreでは、鍵を明らかにせずに暗号処理を実行できます。コード内にハードコードした鍵よりもはるかに安全です。

安全でない通信とは、適切に保護されていない状態でデータが送信されることです。最悪のケースは平文HTTPで、ネットワーク上の誰もが通信を読み取ったり変更したりできます。

すべての機密通信にはHTTPS/TLSを使用する必要があります。

通信を調査するには、デバイスをBurp Suiteなどのインターセプトプロキシ経由で接続します。HTTPSを読み取れるように、デバイスにBurpのCA証明書をインストールします。

これにより、APIエンドポイント、パラメーター、通信中の機密データが明らかになります。

適切に構築されたアプリは証明書ピンニングを使用し、正規の証明書以外を拒否することで、単純なプロキシを無効化します。

学習したように、FridaによるSSLピンニング回避を使うとこれを無効化でき、実際のAPIセキュリティを引き続き傍受・評価できます。

HTTPSを使用していても、すべての証明書を信頼する、期限切れの証明書を受け入れる、ホスト名検証を無効にするといった問題があります。これらは開発を容易にするために実装されることがよくあります。

その結果、TLSが使用されていても、攻撃者は中間者攻撃を実行できます。

さらに2つの情報漏えいがあります。

• android:allowBackup="true"にすると、デバイスにアクセスできる誰もがadb backup経由でアプリデータを抽出できます。
• 詳細なlogcat出力にトークンやPIIが表示されることがあります。

本番環境では、どちらも無効化するか、情報をサニタイズする必要があります。

見落とされがちな情報漏えいが2つあります。機密データをクリップボードにコピーすること（古いAndroidでは他のアプリから読み取り可能）と、アプリがバックグラウンドに移行した際にシステムがスクリーンショットを撮影することです。

バンキングアプリは、スクリーンショットとタスク切り替え画面のプレビューをブロックするFLAG_SECUREウィンドウフラグで、これらを軽減しています。

Androidで暗号鍵を保管する最も安全な場所を思い出してください。

これで、安全でないストレージと通信について理解できました。

• アプリはSharedPreferences、データベース、外部ストレージ、ログに平文のシークレットを残し、情報を漏えいさせます。
• シークレットはAndroid KeystoreまたはEncryptedSharedPreferencesに保存します。
• 安全でない通信には、平文HTTPからTLS検証の不備までが含まれます。Burpで傍受してください。
• Fridaで証明書ピンニングを回避し、allowBackupを無効化してログをサニタイズします。

Mobile App Pentestingコースを修了しました。