# タイトルコール テスティングジャーニーへようこそ。 このチャンネルでは、ソフトウェアテストの世界を探索するコンセプトに、 エンジニアリングマネージャー兼QAリーダーのサミーが、 ソフトウェアテストのコツや品相性の奥深さ、ソーシティビューを考えていることをお話しします。 # セキュリティテストのキホン こんにちは、さみえです。 今日もテストしていますか? 私はですね、 今日もまた前日の夜に撮っているんですけれど、 火曜の夜は、 アソビューさんのオフィスでイベントがありました。 いろんな方の熱狂の話が聞けてとても面白かったですね。 そして懇親会ではカードゲームリリースしていいですか?もプレイしていただきました。 今回はですね、リリース成功したプロジェクトがゼロということで、 なかなか難しかったんですかね。 勝率30%にしているので、 1回か2回くらいリリース成功するかなと思ったんですけど。 ぜひまた次の機会にチャレンジしていただきまして、 リリース成功を目指していただけたら嬉しいなと思っております。 今回はセキュリティテストの基本について学んでいきましょう。 もう最近ニュースですごいですよね。 不正アクセスだったりとか、情報漏洩だったりとか。 いろんな問題が今起きているわけなんですけれど、 それに対してっていうのかな、防ぐ1個の手段としてセキュリティテストというものがあります。 今回に前提2つお話ししたくて、 私自身はセキュリティテストを得意領域ではありません。 なので、勉強を自分もしながらという スタンスですということが1つ。 もう1つの注意は、今回の話、放送は、 Voiceのプロダクトサービスのことは一切出てきません。 結構これまでの放送だと、 Voiceの機能のことを例に挙げたりとかしてるんですけど、 今回については一切関係ない内容となっております。 一般的にはというご覧の観点でお話をしていきます。 はい、ということで早速最初のクイズです。 セキュリティテストとは何でしょうか。 どんなイメージがありますかね。 セキュリティテストとは何かを簡潔にお話をすると、 情報やシステムを脅威から守る仕組みが適切に働くかを確かめるテストです。 例えば、不正アクセスだったり、情報漏洩、 データの改ざんなどにつながる弱点を調べます。 これがセキュリティテストです。 ちょっと抽象的なので、ネットショップを例に挙げて考えていきたいと思います。 続いてのクイズです。 何かネットショップがあったとして、どんな問題が起きたら困りますかね。 セキュリティという観点で、どんな事象が起きてしまったら問題でしょうか。 例えば、他の人の購入履歴が見えてしまうというのも問題ですよね。 自分のアカウントでは、自分の購入履歴を見ることができる。 でも、自分は他の利用者の購入履歴までは見えてしまったら大問題です。 さらに、他の人の名前だったり住所だったり、 購入した商品などが見えてしまうというのも問題ですよね。 なので、セキュリティの観点でテストを行うときは、 一番イメージしやすい内容ではありますけれど、 自分の情報のみを見られるということに加えて、 他の人の情報は閲覧できないということもよくテストで確認したりする内容です。 よく、認証と認可というふうに言われるんですけど、 認証と認可の違いってわかりますか。 認証は、認めるに証明の証。認可は、認めるに許可の可ですね。 認証というのは、あなたが誰なのかを確かめることを認証と言います。 認可は、あなたに何を許可するのかを決めるんですね。 例えば、私はサミーであるということですね。 メーラーです、これこれで、なんとかIDがこれの人はサミーですというのが認証かな。 認可というのは、サミーのアカウントには、 例えば一般利用者の権限しかありませんとか、 あるいはサミーのアカウントには、管理者の権限があるので、 管理メニューも表示されますみたいな、 そんな感じでしょうかね。 認証と認可はよく出てきます。言葉として。 話を戻します。一つ目の問題は、 他の人の購入履歴が見えてしまうというのが一つ。 セキュリティの観点で防ぎたいことというか、 事象としてあったりします。 よくパスワードは複雑なものにしましょうとか、 認証にしましょうとかあると思うんですけど、 あれは悪意のある誰かさんが、 あなたになりすましてログインできてしまうと、 認証をさせて、認証を許可してしまうのを 防ぐための手段だったりしますよね。 二つ目のセキュリティの観点の問題、 起きたら困ることの例としては、 一般利用者が商品の価格を変更できてしまう。 例えばネットショッピングだと、 運営しているECの会社の人とか、 あるいは出店している人がいろいろであれば、 その出店者は価格を変更できるけど、 一般利用者は価格は変更できないはずですよね。 これはさっきの認可の話ですね。 あなたに何を許可するかを決めることですね。 これは管理画面のボタンを隠すだけじゃダメで、 システム側でもちゃんと拒否する必要があります。 管理画面のボタンを非表示、隠すだけだと、 悪意のある人たちは簡単に見つけちゃうんですよね。 よく管理者メニュー、権限がない人は 見えないようになっていると思うんですけど、 そういう画面上の制御だけではなくて、 システム側、アプリケーション側の方でも 許可しているIDとかなのかな、じゃなかったら、 この管理画面の情報とかデータとかは返さないと、 拒否するという実装が必要になります。 三つ目の例です。 ログアウトした後も情報を取得できてしまう。 これもとっても困ることですね。 サミーでアカウントでログインしているときは、 サミーの購入履歴を取得できると。 だけど例えば、ログアウトした後に誰かが、 サミーのIDとパスワード、認証情報を使って、 情報を取りに行ったら、それは拒否されるべきです。 もしログアウトしている状態で、 サミーのIDとパスワードを使って、 購入履歴の情報を取得しようとしたら、 それで取得できてしまったら、 保護の仕組みに問題があると言えます。 これは銀行のアプリとか証券のアプリとか、 イメージすると分かりやすいと思うんですけど、 すぐにログアウトしますよね。 ああいうお金回りのものとか、 センシティブな情報を扱うシステムアプリケーションだと、 ログアウトさせると、すぐにログアウトさせることで、 悪い人が情報を取りに来たときに、 これは怪しいぞと、データはあげちゃいけないな、 渡しちゃいけないな、みたいな判断ができるんじゃないかなと想像しております。 ここまでの3分からまとめてみると、 誰がどの情報に対してどんな操作をしてよいのかと、 そしてそのルールが守られているかをチェックするというふうに考えると、 セキュリティテストを具体的に考えられるんじゃないかなと思います。 そして最後に、セキュリティテストってどういう手法があるの? どうやってセキュリティテストを実行するの?という手法について、 5つ簡単に紹介していきます。 1つ目は仕様とか設計のレビューですね。 最初にシステムを作るとか、機能を追加する、画面を追加するといったときに、 誰が何をできるのか、どうやって情報を守るのかなどをルールを考える、設計するということがまず最初になります。 そしてその後は、コードの静的解析というものがあります。 これはツールとかよくあるんですけれど、 実装されたコードをツールが解析をしてくれて、 ここはちょっとセキュリティのリスクがあるよとか問題とかあるよというのを、 プログラムを動かさずに、コードから弱点を探す静的解析もあったりします。 3つ目が手動でのテストですね。これは動的テストって言うんですけれど、 実際にプログラムを動かして確認するテストです。 権限の異なるアカウントを使って、Aさんのアカウントだったらここまで情報の閲覧ができる。 Bさんだと情報の操作、更新ができるとか。 Cさんだと管理者なんで、広くいろんな他のユーザーの情報も見れるみたいなのがちゃんと適切に許可、拒否されるかを確かめます。 4つ目が脆弱性のスキャンです。 これも専門の会社さんとかがあるぐらいでして、基地の情報、基地の脆弱性とか危険などをいっぱい情報知識を持っているツールでスキャンをして、 この辺弱いですよというのを教えてくれます。 # 続き そして最後5つ目が、ペネトレーションテストです。 これ昔に1回だけやったことなんですけど、 実際に侵入を試みるテストですね。 基地の攻撃手法がいくつかあるんですよね。 今日はあまり攻撃手法の話はしなかったんですけど、 あまりというかほとんどしてないんですけど、 いくつか基地の侵入攻撃手法を使って、 実際に自分のテスト環境に攻撃を仕掛けるという、 ペネトレーションテストというものもあります。 最近はどうなっているかわからないですけど、 10年くらい前かな?もっと前かな? 元ギニーウェブアプリケーションに対して、 ペネトレーションテストをやりましょうってなって、 もうね、まじで半泣きかな?泣きながらやったんですけど、 知識がなさすぎてね。 そのときはAWSのインスタンスかな? なんか別で立ち上げて、そこにウェブサーバーとか入れて、 テスト対象のシステムを構築して、 そこに対してツール専門のツールから攻撃をするんですけど、 確かAWSに事前に申請をしないといけないですね。 今からこのAWSのここの環境に攻撃します。 ペネトレーションテストしますというふうに言わないと、 AWS側が怒られるというか、 純粋にいくら自分のシステムと攻撃してることになるので、 問題があるということで事前に申請を出してですね、 いついつの時間からやります、終わりましたみたいな、 そんな報告をした記憶はあります。 ということで今回はセキュリティテストの基本について、 そもそもセキュリティテストって何なんだっけというお話と、 具体例そしてセキュリティテストの手法についてお話をしました。 # #678のコメント返し🥰 コメント返しのコーナーです。今回は678話目。 リリースしていいですか?を、現実のリリース判断と照らし合わせるのコメントを開始します。 コメントは、Kouheiさん、Mizukenさん、Rustyさんからいただいております。いつもありがとうございます。 1人目、Kouheiさんです。 こんにちは。立場や種族によって品質の捉え方が変わる。これ製造業でも全く同じ。面白いです。 そうなんですよね。私、ハードの方全然詳しくないんですけど、たまにコンファレンスで発表とか事例とか話を聞いてたりもして、結構共通点もあるし、 なんだか日本国内で言うと製造業の方が歴史が長くて、製造業のテスト品質保証から学べることってたくさんあるなと思ってたりしております。 本当に立場、ロール、種族などによって何を大事にするかっていうのは違うので、そういう話をするだけでも結構面白いんじゃないかなと思います。ありがとうございます。 2人目、Mizukenさんです。 リリース判断って本当に難しいですよね。現場ではその判断に苦慮している人もたくさんいそうなんで、リリースあるあるも共有できるといいですかね。ありがとうございます。 そうですね。今日もリリースいいですかのカードゲームをさせていただいて、その中でも話をしたんですよね。 まさに本当に今、リリースしていいのかいけないのかどうなんだろう。周りの人の顔を抱えながらですね。 いやでもまだ潜在的に残っているバグもあるかもしれないしとかね、そんなことを考えながら日々、えいやと。 でも最後はえいやで判断することもあったりしますし、ある程度データを見て判断はしますけれども。 でも本当に最後の最後はもう、なんだろう、心を決めてリリースジャッジをするなんてことも結構あるんじゃないかなと思います。ありがとうございます。 さあ、いこかなすてちさんです。組み込みソフトウェアは一度市場に出てしまうとバージョンアップが難しかった。 かっこ今はOTAで楽になりましたがので、テストを行いながら長時間の連続運転試験、環境試験などを実施した後にリリースするので、リリース後はひやひやしながら次の改善業務をしていたことを思い出します。 今も必要以上のテストを実行してしまうので、効率悪いのかもしれません。 カードゲームをリリースしていいですか?で、リリースの成功を体験したいですね。いいですね。 現実だとなかなかリリースの成功って難しいから、ゲームを通して成功体験を作るっていうのが面白いですね。 確かに組み込みもそうですよね。ハードもそうですけど、一回市場に出してしまうと、ソフトウェアとは比べ物にならないくらいコストがかかるので、石節を叩くくらいしっかりテストするっていうのもあるのかな。 車とか医療機器とか飛行機とかそういうものも含めて、すいませんでした、バグでしたっていうのが許されないというか、度合いがレベル感が全然違ったり、ソフトウェアとは違ったりするので、 そのプロダクトの性質によってもどのくらいしっかりテストするのか、不具合があったときのリスクっていうのかなが全然違うので、その影響度とかヤバさとかに合わせてテストのコストをちゃんと確保するという感じなんでしょうかね。 そしてちょっと話ずれちゃうんですけど、最近収録アプリもリニューアルのまだ全体公開前のアプリを自分で使ってるんですけど、ちょっとコメントに気づきにくくなっちゃったかもな。 なぜさんのコメント読んでこれいいねをした記憶がないと思ってるので、私が純粋に気づいてない可能性はあるので、すいません、後で確認していいねをしていなければコメントいいねさせていただきます。 はい、ということで以上コメント返しでした。 # 今日のほっこり話 今日のほっこり話です。 今朝の話をします。 朝起きて、いつも朝から熊本出発して東京来たんですけど、 なので前日のうちにちゃんと荷物をまとめておいたんですね。 リュックとエコバッグ1個と。 で、朝自分の部屋に行って、 鞄を覗いたらですね、スンスンとゾンゾンがいました。 あ、写真撮ればよかったな。 朝バタバタしてて撮れなかったんですけど、 スンスンがリュックに頭突っ込んでるみたいな。 で、ゾンゾンも近くに座ってて、 なんかまるでですね、僕たちも連れてってみたいな。 ゾンゾンも、私たちも行きたいんでしょって言ってる感じのね、 そんな感じだったんですけど、まず朝からほっこりしましたね。 で、夫にLINEをしまして、 スンスンとゾンゾンは留守番だよっていう風に送ったんですけど、 そして帰ってきたメッセージがですね、 ゾンゾンは止めたんだけどってLINEの返事が返ってきてまた爆笑しましたね。 確かにゾンゾンは鞄の近くに座ってたんで入ってはなかったね。 スンスンはもうリュックの中に頭突っ込んでたんで、 行くみたいなね、そんな感じになってて、めっちゃ可愛かったです。 はい、以上今日のほっこり話でした。 # 次回予告 今回も最後までお聞きいただきありがとうございます。 明日の放送はですね、本当はゲリラ的に生放送やろうかなと思ったんですけど、 ちょっととても無理そうなので、 Taking Testing Seriouslyの15章、先週できなかった分はキャッチアップしていきたいと思います。 今日の放送が役に立った。 あとは今回はセキュリティテストの話をしたので、何かご質問とかあればガシガシコメントお待ちしております。 ぜひぜひいいねもよろしくお願いします。 それではまた明日お会いしましょう。ごきげんよう。