この秋何かつくる人のためのセキュリティ事情

Yoshinori Matsumoto2012年9月16日(加筆修正版)

若手の会 2012年9月16日 @ym405nm http://ym405nm.info

その前に、、、9月某日

( ^o^)発表資料つくるぞｫｗ

( ˘⊖˘)。o(そういえば、他の人のってどんな感じのテーマで発表するんだろ？)

|しおり| ┗(☋｀ )┓ 三

( ◠ ‿◠ )☛ SEAndroid, プログラミングコンテスト、構造化オーバーレイ、大規模負荷分散、変態

▂▅▇█▓▒░(’ω’)░▒▓█▇▅▂ うわあああああああ

•自己紹介•つくってみる•Webサイトで気をつけること、検証•Androidで気をつけること、検証•まとめ

自己紹介

•名前：松本悦宜(よしのり)• Twitter : @ym405nm•会社：神戸デジタル・ラボ 1年目•業務：セキュリティエンジニア-大学卒業 (2010年)-大学院入学 (2010年)-インターンシップ@神戸(2010年)-インターンシップ＠シアトル(2011年)-就職 (2012年)

自己紹介

•セキュリティ診断事例 : ECサイト管理者アカウントがのっとられないか商品在庫・値段が改ざんされないか顧客情報が漏洩しないか攻撃の踏み台にされないか

擬似的に攻撃して検証

サイトをつくってみる

いろいろなツール・フレームワークが揃っており、かなり作り易くなりましたね！その一部をご紹介します

•HTML5

• Twitter bootstrap

•API

• http://ペロペロ.jp のネタ

Webサイトで気をつけること、検証

Webサイトを構築するときに気をつけたいこと利用するときに気をつけたいこと試してみたことをご紹介します

構築するとき

•改ざんされて他のサイトに誘導されない？•データベース盗まれない？•ユーザが乗っ取られない？

気をつけること

構築するとき

クロスサイトスクリプティングによるJavaScript埋め込みにより、他サイトへの誘導

改ざんされて他のサイトに誘導されない？

JavaScript

ページ

他サイト

攻撃者埋め込み

誘導

訪問

構築するとき

SQLインジェクションによりデータベースへ侵入され、データの盗難や改ざん

データベース盗まれない？

ページ

侵入

攻撃者データベース

構築するとき

CSRFにより第三者のアカウントへのなりすまし

ユーザが乗っ取られない？

会員サイト

攻撃者側サーバ

URL誘導

リクエスト

会員情報変更など

攻撃者

訪問

利用するとき

•フィッシングサイト•クリックジャッキング

利用するとき

そっくりのサイトをつくって、ユーザの機密情報を聞き出す

フィッシングサイト

利用するとき

透過ボタンにより、クリックすると悪意のあるプログラムが実行される

クリックジャッキング

投稿クリック

やってみたこと

•その１

•せっかくなので、脆弱性を体験してもらえるゲームをつくりました

•ツクランド• http://tkland.ym405nm.info

第2回 SECCON つくば大会ハッカソンの部最優秀作品賞

•少し前に流行したコンプガチャのパロディゲーム

•脆弱性を利用してレアキャラをゲットする•課金機能（＝Twitterにつぶやき）搭載

•公開してからの反応

やってみたことさっきのCSRFの図

ツクランド

攻撃者側サーバ

URL誘導

リクエスト

つぶやき

攻撃者

訪問

確認画面

•小話

•その２

•Webサイトにおいて、どんな攻撃がくるのかを集めてみました（開発中

wordpress

TwitterYoutube Twitter

Attacker

SpamDatabase

Script自動投稿

API POST

Rackhub

さくらVPS

Androidで気をつけること、検証

スマートフォンの爆発的普及により、特にAndroidOS端末に関してはセキュリティ的な注目も浴びています

開発者にとって気をつけなければならないこと利用者にとって気をつけなければならないことをご紹介し、

試してみたことを紹介します

構築するとき

•他のアプリからの攻撃•使ってるモジュール

構築するとき

•他のアプリからの攻撃

他のアプリからの攻撃

アプリ攻撃アプリ

アプリ内データ攻撃者

個人情報

構築するとき

•広告モジュールなどに問題点がある場合

使ってるモジュール

アプリ

広告攻撃者

個人情報

利用するとき

•自分の情報は大丈夫？

利用するとき

•パーミッションという仕組み自分の情報は大丈夫？

インターネットの利用から、電話番号・連絡先へのアクセス等機密情報はパーミッションで守られている

利用するとき

•パーミッションの問題点自分の情報は大丈夫？

一度許可したら、どのタイミングで使われているのかわからない

•パーミッションの設定はアプリにより様々•どのアプリがどのパーミッションを求めているのか調査

まとめ

•セキュリティに関しては、開発者だけでなく利用者も気を付けないといけない

•どうしても”漏れ”は出てくるもの。気をつけましょう

•とはいえ楽しくやりましょう

この秋何かつくる人のためのセキュリティ事情

Technology

IPv6セキュリティの勘どころ IPv6とセキュリティ...0.本のセッションの概要! IPv6におけるセキュリティ概要! IPv6導時におけるセキュリティ課題の整

WatchGuard セキュリティ統合ゲートウェイ「インターネットセ … · システム障害から復旧までのセキュリティ対策 ... フルマネージドのセキュリティ管理サービスである

HTML5 Web アプリケーションのセキュリティ

表紙の絵「プロヴァンスの黄金の秋」 · 2012-04-24 · 表紙の絵「プロヴァンスの黄金の秋」山縣正靖プロヴァンスの秋は黄金に輝く。

AWS Lambda のセキュリティの概要 Overview...アマゾンウェブサービス AWS Lambda のセキュリティの概要 3ページ秒以下の単位での計測 AWS Lambda

マイクロソフトのセキュリティへの取り組み - …...マイクロソフト製品のセキュリティ強化を目的とするセキュリティ専任メンバーからなる社内組織

ESX 4.0 vCenter Server 4 - VMwareVLAN を使用した仮想マシンのセキュリティ強化 148 仮想スイッチポートのセキュリティ強化 153 iSCSI ストレージのセキュリティ

ウェブサイト運営における脅威と責任 - IPA · ウェブアプリケーションのセキュリティ対策ウェブサーバーのセキュリティ対策ネットワークのセキュリティ対策

Oracle Database 12cのセキュリティとコンプライアンス...Real Application Security 14 Oracle Database 12c のセキュリティとコンプライアンス 15 Oracle Database

シスコのトータルセキュリティソリューション

vol - セキュリティ対策のラック2015/01/21 · vol - セキュリティ対策のラック ... 株式会社ラック

Java セキュリティ（その１）

セキュリティ機構のオフロード時の性能分離

モバイルデバイスのセキュリティ

OSS利用時のセキュリティ基本のキ

秋のクラシックサウザンドアフタヌーンティー...秋のクラシックサウザンドアフタヌーンティーおすすめポイントモンブラン4種の食べ比べ

情報セキュリティ論(12) ソーシャルメディアのセキュリティ ......ソーシャルメディア 2020/7/24 情報セキュリティ論 2 ソーシャルメディア(1)}Social

情報セキュリティと標準化Ii 参考資料-クラウドのセキュリティその２

SaAT Secure Starterのセキュリティ機能

シスコ Web セキュリティ - Cisco...Web の入口/出口対策や未知のマルウェアに対するセキュリティソリューションをCisco Web セキュリティ