# オープニング #車購入は一括かローンか どうもー。セキュリティチョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて 解説しております。ということでね。 今日は車購入は一括かローンかに関する話なんですけども そうですね。車だったり家だったり 結構大きい買い物は先立つものがあるかどうかということも関係しますが 一括なのか、それとも分割なのか、ローンなのかみたいなところですよね。迷われる方も多いんじゃないかなと思うんですけども 僕自身の考えとしては、ローンにした場合の 一括で払わなくても良い金額を 再投資に回せるかどうかですね。それでローンの金利よりも リターンが得られるかという、結構シビアな現実的な考え方をして、良い方を選ぶということをしています。 現状ですね、バイクは一括で買ったというか、そんなに中古で、すごく安かったので ローンにするまでもないみたいな、そんなところではあったんですけども。 2年ぐらいだったかな、一度だけ家を買おうとした際に 実際に金利を出していただいて、借りようかな、どうしようかな、みたいな、そんなことをですね 本当に手付金払うところぐらいまで行った記憶があります。結果、借りなかったんですけども その時もですね、例えば何千万と借りることになるじゃないですか。もちろんその時はですね 先立つものも特になく、みたいなところもありましたので、ローンとこういうものを検討せざるを得なかったんですけども その時にですね、利率どれぐらいだったかな、多分 2%は行ってなかったと思うんですよね。 2%以下かと。じゃあその2%以上で何千万を回せるかな、ということをですね 考えて、いけるなと。根拠ないんですけどね。いけるなというふうに思ってフルローンをですね 申し込みしたことを記憶しています。ちょっと家自体をですね、買わなくなってしまったので、そのローンはですね 特に実行はしなかったんですけども、一つのですね、その比較対象というか、その判断基準として、そのお金をですね ご自身で運用して、そのリターンが上回るかどうかですね、こちらをですね ご参考にしていただければと思います。 ということで、今回はスマートフォンアプリの内部に暗号化のための鍵が、そのまま書き込まれてしまっているという脆弱性について 取り上げております。この放送を通じてリスナーの皆さんは、アプリに重要な情報を直接書き込むことの危険性や 開発者がどのようにして機密情報を管理すべきなのかについて 理解を深めていただければと思います。 それではどうぞ。 # スマートフォンアプリ「東北電力 よりそうｅねっと」にハードコードされた暗号鍵使用の脆弱性 スマートフォンアプリ東北電力ヨリソーイイネットにハードコードされた暗号鍵仕様の脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは 9月17日スマートフォンアプリ東北電力ヨリソーイイネットにおける ハードコードされた暗号鍵仕様の脆弱性についてJapan Vulnerability Notes JVNで発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回のニュースは東北電力が提供するAndroid及びiOS向けのスマートフォンアプリ 東北電力ヨリソーイイネットに深刻な脆弱性が見つかったというものです。 具体的にはアプリのプログラムの中に暗号化や複合化に使うための重要な鍵のデータがそのまま書き込まれている状態でした。 この影響として悪意のある第三者がアプリのファイルを解析することでその暗号鍵を盗み出してしまう可能性があります。 対策として開発元からはすでに脆弱性を修正したバージョン2.8.0がリリースされており 利用者は速やかにアプリを最新版やアップデートしてリスクを回避することが強く推奨されています。 アプリのプログラムに鍵が書き込まれるハードコードとは具体的にどのような状態なのでしょうか。 ハードコードというのはプログラムのソースコードと呼ばれる設計図の中にデータやパスワードを直接文字として書き込んでしまうことを指します。 通常暗号鍵のような重要な情報は外部の安全なサーバーから取得したり専用の仕組みを使って隠したりする必要があります。 しかしハードコードされてしまうとアプリ本体の中に鍵がそのまま保存されることになりますので アプリのファイルを分解して中身を覗き見ることができる人にとっては鍵が丸見えになってしまう状態といえます。 その暗号鍵が第三者に取得されてしまうと利用者にはどのような危険があるのでしょうか。 はい。暗号鍵が漏洩してしまうとその鍵が守られていたはずのデータがすべて解読されてしまう危険があります。 例えばアプリとサーバーの間でやり取りされる通信内容が盗み見られたり スマートフォン内に保存されている利用者の個人的な情報が不正に引き出されたりする可能性があります。 本来であれば鍵を持っている人しか見られないはずの秘密の部屋に 合鍵を使って誰でも自由に出入りできてしまうような状態をイメージしていただくと分かりやすいかもしれません。 なぜ開発の段階でそのような重要な暗号鍵を直接書き込んでしまうのでしょうか。 はい。開発の現場ではテスト作業をスムーズに進めるために 一時的な措置として鍵を直接プログラムに書き込んでしまうことがよくあります。 本来であればアプリを一般に公開する前にその傷つを削除し 安全な仕組みに置き換える必要がありますが チェックが漏れてそのままリリースされてしまうケースが少なくあります。 またセキュリティに対する認識が不足していて アプリの内部に書き込んでおけば外からは見えないだろうと誤解してしまうことも原因の一つとして挙げられます。 このアプリを使っている利用者はリスクをなくすために具体的にどのような手順を踏めばよいのでしょうか。 はい。利用者の方ができる最も確実で重要な対策は スマートフォンに入っているアプリを最新のバージョン2.8.0にアップデートすることです。 スマートフォンの設定でアプリの自動更新をオンにしている方はすでに修正されているかもしれませんが 念のためアプリストアを開いて更新ボタンが表示されていないか確認することをお勧めします。 古いバージョンのまま使い続けることは泥棒に合鍵を渡したままにしているのと同じですので 速やかな確認と更新をお願いしたいですね。 今後アプリ開発者が同じような脆弱性を出さないために気をつけるべきことは何でしょうか。 はい。開発者はパスワードや暗号鍵といった機密情報を絶対にソースコードに直接書き込まないという原則を徹底する必要があります。 代わりにOSが提供している安全な鍵管理の仕組み、例えばiOSのキーチェーンなどを活用することが推奨されます。 またアプリをリリースする前には専用のツールを使ってプログラムの中に機密情報が残っていないかを自動でチェックする仕組みを導入するなど 人為的なミスを防ぐための開発プロセスをしっかりと構築することが非常に重要です。 なるほど。便利なアプリでも目に見えないプログラムの内部に鍵がそのまま置かれているような危険が潜んでいることがあるのですね。 利用者としてはアプリを常に最新の状態にアップデートして自分自身の情報を守る習慣をつけることが大切だとよくわかりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、スマホアプリの内部に暗号化の鍵が そのまま書き込まれてしまったという脆弱性についてお届けしました。 いわゆるハードコードの問題、機密情報をですね、 ソースコードに直接書き込んでしまう問題ということになるわけなんですけども、 言わずもがなというかですね、この脆弱性に関しても AIによる解析の対象になってしまうということが挙げられます。 ですから過去よりもですね、極めて高速にそのソースコードにですね、 例えば今回のような暗号化の鍵であったり、 あとはですね、パスワードが含まれてしまっていたことも 過去にあったりします。 こういった機密情報がですね、ソースコードに含まれている。 もしくはそのアプリの中にですね、そのまま書かれている状態でリリースされてしまうと。 こういったことがありますと、AIによってですね、 直ちにそのパスワードだったり、暗号化鍵がですね、複合されてしまうということがあります。 ですから、今まで以上にですね、そのソースコードに 何を書くかということは、しっかりとですね、気を配る必要があるわけなんですけども。 最近ですと、そのAIによるコーディングというのもですね、 一般化していますので、その際にですね、テストコードなど、 こういった機密情報などがですね、含まれていないかというのは、 リリース前にしっかりと確認をすることが重要だと。 改めて理解できる脆弱性ではないでしょうか。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!