RiskFinder 6.0(2016年7月版)リリース


本日、RiskFinder 6.0(2016年7月版)をリリースしました。
今回は新たに追加された機能や情報について簡単にお知らせしたいと思います。


情報処理セキュリティスペシャリスト試験に合格しました。

会社のブログで情報処理試験合格したー!という記事を書くのはどうかと思ったのですが、家に合格証が届いて結構嬉しかったので....


試験を受けた動機


情報処理試験は、情報処理2種を学生の時取ったきりで、他の資格は持ってませんでした。私の年代だと、会社で取れとか言われたりしないと、仕事と関係ある知識は自分で覚えるし、資格持っている=仕事ができるわけでもないしといった世代です。試験とかはまったく関心がなかったのですが、
今年の初めに、情報処理安全確保支援士というのができるというニュースがでました。「士」ということで、会計士とか税理士とかと一緒で、持っていないと出来ない仕事をこれから作るという話もあり、そうなると、できない仕事ができるとまずいなぁ、逆に何かセキュリティ的な仕事にチャンスがあるかな?と思い、過去問題をチラッとみてみたら、なんか数学の集合記号とか出てるし、なんか見たことあるけど、使わないから忘れたなーと....

しかたないから、会社で、「誰か情報処理セキュリティスペシャリスト試験うけてくれない?」と言ってみても、「あー試験は苦手だしー」とかだったり、だんまりだったりで誰も関心を示しませんでした。今まで会社として資格とか学歴とかは関係なく実力だと言っているわけだし、資格を取るようにも全く言ってないわけで、なんかチャンスあるかもしれないから、資格取ってよと言ってもね、今更そんな事言われても困るよねーと理解できます。
試験勉強とただ勉強すればいいわけじゃなくて、試験用の勉強しなくてはいけないので、めんどいよねーまぁそうだよねー自分もメンドクサイと思ったので人に振ったわけですし....

もう45歳超えてますし、テスト勉強したのは、もう何十年も前、記憶力もかなり衰えてきてますので、自分で受けても受かる気がしなかったのですが、取りあえず勉強にもなるわけですし、記念受験してみるかという事で出願をしました。(会社にはこっそりと...



IPAにアンドロイドアプリの脆弱性報告をした話

昨日(2016/5/30)日、IPAより「DMM.com証券製の複数の Android アプリにおける SSL サーバ証明書の検証不備の脆弱性」が公開されました。



今回この脆弱性は、リスクファインダー株式会社から報告させて頂きましたので、この件につきまして経緯や脆弱性報告手順について記載したいと思います。

SSLサーバ証明書の検証不備の脆弱性は、前から定期的に報告されていますが、なかなか減りません。アンドロイドアプリの脆弱性検査ツールを販売していていつも思うのは、自分の会社のソフトは大丈夫と思い込んでいる人が多い事です。
特に銀行や証券会社等は、お金を取り扱う会社ですので、セキュリティホールが見つかると顧客の資産に影響を与えます。
今回はDMM.com証券での脆弱性でしたが、過去には

まだまだありますが、スマホによるプライバシー情報の流出どころの話ではありません、ログインIDとパスワードが流出すると金銭を取られてしまうような業界のアプリで脆弱性が見つかっております。

既に上記のような事例が出ていますし、IPAから「プレス発表 【注意喚起】HTTPSで通信するAndroidアプリの開発者はSSLサーバー証明書の検証処理の実装を」といった形で注意喚起まで出ているので、てっきりこれらの金銭を取り扱う業界は、きちんとセキュリティ会社によるチェックをしており、まれに、このような脆弱性が出てくると思っていましたが、今年の5月頃に偶然上記リストにはない銀行のアプリのSSLサーバ証明書検知不備の脆弱性を見つけました。(報告修正済)同じ会社の別のアプリを調べるとこれもSSLサーバ証明書検知不備の脆弱性…。
SSLサーバー証明書不備の脆弱性は、検知するのが非常に簡単で、セキュリティ会社にチェックを依頼すれば必ず見つけ出させる種類の物です。まったくセキュリティチェックをしてないと思われます。

Androidアプリセキュア開発セミナーを開催します


半年にごとにセキュアスカイ・テクノロジーさんと共催しているAndroidアプリセキュア開発セミナーのお知らせです。
Nのプレビュー3が公開になっていますが、今回もセキュリティ周りの変更がいくつかあるようです。まだ正式リリースではないのできちんと説明することはできませんが、予告編的なお話はしてみたいと思っています。

概要
日時:2016年6月15日(水)10:00-17:00 (9:30受付開始)
会場:セキュスカイ・テクノロジー社セミナールーム(PMO 神田司町2F)
対象:Androidアプリケーションの企画、設計、開発のリーダー、およびマネージャ
費用:50,000円/人(税抜き)

詳細はこちら


ワイヤレスジャパン2016に出展します


今週水曜日から開催のワイヤレスジャパン(イベント詳細はこちら)。
リスクファインダー社も出展します!
ということで、今回は出展のお知らせです。

開催概要
開催日時:2016年5月25日(水)〜5月27日(金)10:00〜18:00(最終日17:00終了)
開催場所:東京ビッグサイト 西3・4ホール / 会議棟
ブース番号:6-2-8(日本Androidの会)内

注意:
5月20日現在、出展者情報では、日本Androidの会は ブース3-2-6 で出展すると記載されていますが、変更になっています。6-2-8が正解ですのでお間違いのないように!


AndroidMで追加された、クリアテキスト機能について

Google Developer Blogの方で先日、「Protecting against unintentional regressions to cleartext traffic in your Android apps」という記事が投稿されました。セキュリティに関する事ですので、翻訳をしました。

要約すると、Android N のNetwork Security Config機能でこのあたりまた拡張されるのですが、Android Mでも平文通信を禁止するクリアテキスト機能は使用可能で、サードパーティのライブラリ等は影響うけるからそろそろ対応してね。という感じです。

クリアテキストという用語はあまり聞きなれない用語になりますが、「平文」と置き換えるのが一番いいと思います。クリアテキスト通信→平文通信となります。

検証等、動作確認はしていませんが、以下翻訳(超訳?)です。興味がある方は参照ください。



Network Security Configurationについて - Android N

3月10日にAndroid NのPreview版がリリースされました。ようやくAndroid Mのセキュリティ回りの調査が一段落したと思っていたのに(全然調査内容ブログで書けてませんが…)もた調査の始まりです

Android Mの時は、Runtime-Permissionという大きな機能が追加されました。現在ざっと見た感じ、NはMのような大きな変更はありませんが、それでも調査が必要な項目がいっぱいありました。皆さんマルチウインドウを色々試して盛り上がっているのを横目に、地味なセキュリティ回りの調査です。

今回のセキュリティ回りで目を引いたのが、「Network Secure Config」という機能です。

公開されているアンドロイドアプリは脆弱性がいっぱいですが、特にHTTPS通信の証明書の検査不備はひどいもので、IPAから注意喚起が出るほどです。


この脆弱性の対応策がNetwork Secure Config機能に入っています。

宣伝になりますが、ちなみに、この脆弱性はRiskFinderでも検知ができ以下のようなメッセージが表示されます。