# オープニング #収入と教育資金の割合 どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね。今日は収入と教育資金の割合に関する話なんですけども 教育はですね、すべての人の可能性を無限に広げてくれるものですので、ぜひ必要な資金は何とか調達していただければなぁと思うわけなんですけども その資金以上にですね、教育に重要なのは時間なんじゃないかなというふうに思っています。 よくセキュリティでは、お金と時間の関係性みたいな、そんな話をして、僕らはひたすらお金と時間を交換する作業を繰り返しているよねと そんな話をいつもさせていただいております。 ただ時間は有限であると、ただお金は無限だよねという特徴があるわけですね そんな中で、例えばですね、教育に必要なお金と言いながらもですね、すべての時間をお金を稼ぐことに割いてしまえばですね その手にしたお金をですね、教育にかける時間が残されていないということになります。 これだと本末戦闘になってしまいますよね これって、お子さんに対してですね、教育を施していくという際にもですね、同じことになるんじゃないかなというふうに思っていまして お子さんと一緒に過ごすというか、学ぶというかですね、親として教えられることって色々あると思うんですよね もちろん教育自体をアウトソースしていくこと自体をですね、否定するつもりはないんですけども その学校で学べること以外の生き方みたいなところですね、そういったものは人生の先輩として、親としてですね その子供に教えられることがいっぱいあるんじゃないかというふうに思っています 言葉を変えればですね、しっかりとそういった生き方みたいなところをですね 子供に伝えられるような存在になりたいと、いつかですね、子供ができたらそんな存在になれるようにしっかりと日々勉強をしていきたいと思います ということで今回はスマートフォン向けアプリケーションに潜む脆弱性について取り上げております この放送を通じてリスナーの皆さんはアプリのアクセス制限首という脆弱性が どのようにして悪用されるのかについて理解を深めていただければと思います それではどうぞ # Android アプリ「【保護者専用】まなびポケット」にアクセス制限不備の脆弱性 アンドロイドアプリ保護者専用学びポケットにアクセス制限不備の脆弱性 独立行政法人情報処理推進機構IPA および一般社団法人JPサートコーディネーションセンターJPサートCCは9月15日 アンドロイドアプリ保護者専用学びポケットにおけるアクセス制限不備の脆弱性について Japan Vulnerability Notes JVNで発表した こちらの記事を簡単に解説お願いできますでしょうか はい 今回見つかったのは 学校と家庭をつなぐ連絡帳アプリの保護者向けバージョンにおけるセキュリティ上の弱点です このアプリのバージョン1.2.3以前には アンドロイドの機能に対するアクセス制限が不十分であるという脆弱性がありました この影響として同じスマートフォンにインストールされている別の悪意のあるアプリから 特定の通信の仕組みを通じて 連絡帳アプリ内の重要な個人情報や 機微なデータを盗み出されてしまう危険性が指摘されています 対策としてはアプリの開発元がすでに脆弱性を修正した最新バージョンを公開していますので 利用者は速やかにアプリを最新版へアップデートすることが求められています アクセス制限の不備という言葉が出てきましたが これは具体的にどのような状態のことなのでしょうか はい スマートフォンの中ではいくつものアプリが同時に動いており 通常はそれぞれのアプリが持つデータは安全に隔離されています しかしアクセス制限の不備がある状態とは 本来なら他のアプリからは見えないはずのデータの出入り口に鍵がかかっていないような状態を指します そのため悪意のあるアプリがその開いたままのドアを見つけて侵入し 重要なデータを勝手に覗き見たり持ち出したりできてしまうのです 家で例えるなら大切なものをしまっている引き出しに 鍵をかけ忘れている状態といえますね 記事の中にあるインテントというアルファベットの仕組みについて もう少し詳しく教えていただけますか はい インテントとはAndroidのスマートフォンにおいて アプリとアプリの間でデータやお願いのメッセージをやり取りするための橋渡しのような仕組みです 例えば写真アプリからメールアプリを立ち上げて画像を添付するときなどに このインテントが使われています とても便利な機能なのですが アプリ側でこのメッセージを受け取る相手をきちんと制限しておかないと 関係のない悪意のあるアプリからのメッセージも受け入れてしまったり 逆に大切な情報を意図せず第三者のアプリに渡してしまう危険性があります それでは今回のような脆弱性を修正するために 開発側はどのような対応を行っているのでしょうか はい 開発者はアプリを設計する段階で インテントを使って外部とやり取りする入り口と出口のルールを厳密に見直します 具体的には自分たちのアプリが本当に信頼できる相手とだけ通信するように 受け入れるメッセージの条件を細かく設定したり 外部に送信するデータに制限をかけたりします また他のアプリからはアクセスできないような設定をプログラムに明記し データの出入り口にしっかりとした鍵を取り付ける作業を行います こうした修正を加えたプログラムを新しいバージョンとして公開するわけです 利用者側がこういったアプリの脆弱性のリスクを下げるために日頃からできることはありますでしょうか はい 最も確実で重要な対策はお使いのアプリを常に最新の状態に保つことです スマートフォンの設定でアプリの自動更新を有効にしておくことを強くお勧めします また今回の脆弱性は同じ端末にある別の悪意のあるアプリが悪用するという条件がありました そのため出どころがわからない怪しいアプリを不要意にインストールしないことや 公式のアプリストア以外からはダウンロードしないといった基本的なセキュリティ意識を持つことも 自分自身の身を守るための重要なリスク提言策となります それでは今回のニュースから私たちが企業や組織のIT担当者として学ぶべき教訓はどのようなところになりますか はいどんなに便利で広く使われているサービスであっても プログラムの構造上思いがけない弱点が完璧に潜んでいる可能性があるということです IT担当者としては社内で利用しているアプリやシステムの脆弱性情報を定期的に収集し 把握する仕組みを整えることが大切です そして脆弱性が発表された際にはそれが自社の業務にどう影響するのかを迅速に評価し 社員に対して速やかなアップデートを呼びかける体制を構築しておくことが最大の教訓といえます なるほど身近な連絡アプリにも思わぬ落とし穴があることや アプリ同士の連携機能が情報漏洩の入り口になり得ることがよくわかりました 私たち利用者も常にアプリを最新版に保ち不審なアプリを入れないよう注意を払うことが大切ですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、スマホアプリで発見された アクセス制限不備の脆弱性ということでした。 よく発見される脆弱性ではあるんですけれども、 そのアプリでですね、取り扱っている情報次第では 被害が大きくなってしまう可能性もありますので、 ぜひ開発者の方は気をつけていただければと思います。 とはいえですね、今お聞きくださっている方は、 どちらかというとアプリの利用者側の方が多いんじゃないかなというふうに思っていますので、 利用者としてですね、このスマホアプリの脆弱性が発見された際に、 どういったことに気をつければいいかというところなんですけれども、 結論ですね、重要な情報を取り扱うアプリに関してはですね、 しっかりと出どころを確認していただく、これは必須だと思っています。 その上でですね、これ月並みになっちゃうんですけれども、 やはり仕事用のスマホに関してはですね、ある程度インストールするものを絞っていく。 これがですね、一番手堅くて確実な セキュリティ対策になるというふうに思っています。 やっぱりですね、その脆弱性がゼロであるということをですね、 予め期待するというのは現実的ではないということですね。 スマホアプリに関しても、やっぱりAIによる 脆弱性解析の対処になってしまうわけです。 そういった状況でもありますので、 確実なのはですね、もう物理的に分けていただく。 場合によってはですね、そのAndroidであれば、 プロファイルをですね、仕事用と個人用と分けることができますので、 そういった形で、論理的もしくは物理的に その情報を分離すると。 これがですね、何よりも手堅いセキュリティ対策になりますので、 ご参考にしていただければと思います。 今日の10分セキュリティラジオは、月曜からと いうように、祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.