# オープニング #実家どうする問題 どうもー。セキュリティチョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて 解説しております。ということでね、今日は実家とする問題に関する話なんですけども 実はですね、僕自身この実家というか、家族構成というんですかね、若干問題を抱えておりまして、確かですね、僕が大学生くらいの頃だったと思うんですけども、 両親がですね、離婚をしていまして、僕含めてなんですけども、親子3代×1という離婚の血筋を持った家系でございます。 その関係もあってですね、両親というか、父親と母親が別々の場所に暮らしているというような状況でして、 父親は完全に別の方とですね、再婚をしていまして、別の所帯を持っていますので、僕にとっての実家は母親のいる場所かなというふうに思っています。 で、どれくらい前かな、パンデミックの前くらいからですね、その実家に帰っていない状況が続いていまして、 最初はですね、接近しない方がいいよねみたいな、そんな感じだったかなと思うんですけども、その後もですね、僕自身が自分から積極的に連絡を取るようなことをしていないというかですね、 言い訳を言いすればですね、仕事に全力投球していた時期でもありましたので、社長としてですね、まずはその従業員のことを100%考えると。 そういったことで、実家に帰るタイミング自体がなかったということが続いていました。 で、最近ですね、無職から転職達となりまして、時間はあるよみたいなね、そんな感じになりましたので、実家近くに住んでいる妹の家にですね、 ちょっと寄るきっかけがありまして、そのついでにですね、じゃあ実家にも寄ってみようかみたいな、今までそういったきっかけを失っていましたので、 せっかくなんでね、みたいな感じで実家に寄ることがつい先月ですね、ありました。 ただですね、実家に行ったところですね、誰もいなかったというところでして、しばらく待ったんですけどね、帰ってくる要素もなかったので、そのまま会わずに 撤退という感じになってしまいました。今後もですね、特に帰る予定もないというところと、あとは連絡先もわからないみたいな、ちょっと情けない状況もありまして、 再度きっかけを失ってしまったなというところなんですけども、僕からなんですけども、申し上げられることといえばですね、 そのきっかけというかですね、帰れるうちに実家は帰っておこうというところですね。ぜひ皆さんのご参考になればというふうに思っております。 ということで、今回はAndroid版マイナポイントアプリで発見されたアクセス制限不備の脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、身近なアプリに潜むリスクとそれを防ぐための基本的な考え方について、理解を深めていただければと思います。 それではどうぞ。 # Android アプリ「マイナポイント」にアクセス制限不備の脆弱性 Androidアプリマイナポイントにアクセス制限不備の脆弱性 独立行政法人情報処理推進機構IPA および一般社団法人JPサートコーディネーションセンター JPサートCCは8月26日 Androidアプリマイナポイントにおけるアクセス制限不備の脆弱性について Japan Vulnerability Notes JVNで発表したこちらの記事を簡単に解説お願いできますでしょうか はい今回のニュースはデジタル庁が提供しているAndroid版のマイナポイントアプリに セキュリティ上の弱点つまり脆弱性が発見されたという内容です 具体的にはバージョン2.0.6以前のアプリにおいて 外部からのアクセスを適切に制限できていない問題がありました この影響として利用者のスマートフォンに悪意のある別のアプリがインストールされていた場合 そのアプリからマイナポイントアプリの機能が不正に呼び出され任意のJavaScriptというプログラムが実行されてしまう危険性があります 対策としてはすでに修正版のアップデートが提供されておりますので 利用者はアプリを最新バージョンに更新することが強く推奨されています アクセス制限不備とは具体的にどのような状態になっていたのでしょうか はい 本来であればアプリの特定の機能は信頼できる安全な経路からのみ呼び出せるように制限をかけておく必要があります しかし今回のケースではカスタムURLスキームという仕組みを使って外部から呼び出される際に 誰からのリクエストなのかを確認する制限が不十分でした そのため同じスマートフォンに入っている別の無関係なアプリからでも マイナポイントアプリの重要な機能を勝手に操作できてしまう いわば鍵がかかっていないドアのような状態になっていたのです そのカスタムURLスキームという言葉はどのような仕組みを指すのですか はい カスタムURLスキームはウェブサイトのリンクをタップしたときに ブラウザでなく特定のアプリを直接起動させるための仕組みです 例えばスマートフォンのブラウザで地図のリンクを開くと自動的に地図アプリが立ち上がりますよね それがこの技術です とても便利な機能ですがアプリ側でどのような要求なら受け入れるかというチェックを厳密に行わないと 今回のように悪意のあるアプリから不正な指示を送りつけられてしまう入り口にもなり得るというわけです 記事にあるインテントという言葉も気になりました これは何でしょうか はい インテントとはAndroidのシステムにおいてアプリ同士が情報をやり取りしたり 機能を呼び出したりするためのメッセージのようなものです 例えばカメラアプリで撮った写真をSNSアプリに送って投稿する際などに このインテントが使われます 今回は悪意のあるアプリがこのインテントという手紙を使ってマイナポイントアプリに対して不正な命令を送りつけました 受け取った側でその手紙の送り主や内容を正しく検証できなかったためリスクが生じてしまいました それでは任意のJavaScriptが実行されるとどんな危険があるか教えていただけますか はい JavaScriptはウェブサイトなどでよく使われるプログラミング言語ですが これが意図せず実行されると深刻な被害につながります マイナポイントアプリ上で悪意のあるJavaScriptが動いてしまうと 画面上に偽の入力フォームを表示させて利用者の個人情報を盗み出したり アプリ内に保存されている大切なデータを外部へ勝手に送信したりする可能性があります つまりアプリの権限を乗っ取られて犯罪者の思い通りに操作されてしまう危険性があるということです 利用者が自身を守るためにフランからできるリスク低減策はありますでしょうか はい 最も重要で確実な対策はアプリの開発元からアップデートの通知が来たら 速やかに最新版へ更新することです 今回の脆弱性も最新バージョンではすでに修正されています また不審なアプリをインストールしないよう 公式のアプリストア以外からは絶対にダウンロードしないこと そしてインストールする際にアプリが求めてくる権限が そのアプリの目的に合っているかを確認する習慣をつけることも スマートフォンを安全に使うための基本であり とても有効な防衛策となります なるほど 便利なアプリの連携機能にも落とし穴があることがよくわかりました 提供元からのお知らせをしっかり確認して アプリを常に最新の状態に保つことが 私たち利用者にできる最大の防御なのですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、Android版マイナポイントアプリで 発見された脆弱性ということでした。 最近ですね、オープンソースの脆弱性がですね、 大量に発見されていると、 その背景がですね、AIによる脆弱性解析である ということをお話しさせていただきました。 その対象にですね、このAndroidアプリも入りますよ ということをですね、 今日はお話しさせていただければと思うんですけども、 まずですね、そのAndroidアプリはですね、 1つのファイルとして配布されることがよくありまして、 そのファイル自体はですね、 実はZIPファイルになっていることがよくあったりします。 ですので、その拡張値をですね、 .zipに変えていただくと、中身が展開できる ということがあったりするわけなんですけども、 その中身はですね、ソースコードそのものではなくてですね、 いわゆるスマートフォンがですね、読み取れるように、 いわゆるコンピューターがですね、理解できるように コンパイルということがされていまして、 それでですね、バイトコードと呼ばれる、そういった コンピューターが呼べる形式にはなっています。 ただ、そのコンピューターが呼べる形式自体はですね、 ある意味そのソースコードに戻すことができるような形式のものが Androidアプリには使われていまして、その結果ですね、 アプリという形で配布されていて、ソースコードがなくてもですね、 オープンソースと同様にAIによる脆弱性解析の対象になり得る ということは、ぜひ理解していただければと思います。 そういった意味ではですね、そのAndroidアプリだけでですね、 さまざまな脆弱性が多く発見されることが多く、 今後も発生し得るということが考えられますので、 開発者の方だったりとか、実際にですね、アプリをリリースされている方はですね、 こういったAIによる解析の対象にならないように、 もしくはですね、事前にしっかりと脆弱性を洗い出した上で、 リリースをしていただきますようお願いいたします。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!