モバイルアプリを利用して関心事を検索する様子が、老若男女問わずよく見かけられます。これは、モバイルアプリが急速に成長しており、過去のデスクトップ中心の環境がモバイルへと移行していることを示しています。このようなモバイル環境において、セキュリティはもはやプレミアム機能ではなく、ユーザーのプライバシー保護のためには必須であり、非常に基本的な機能と考えられています。モバイルアプリが様々な分野で強力な機能を備えて高水準に発展していることを鑑みると、データや通信による情報交換で、ユーザーがアプリと安全に相互作用できる環境を維持することは、必須不可欠となりました。実際、膨大なアプリ(個人用と企業用)コレクションを提供するAndroidとiOSアプリストアを利用する顧客は、製品を完全に信頼できる、セキュリティが確かなアプリを望んでいます。
エンドユーザーの観点から見て、セキュリティに問題がなく安全なモバイルアプリを概念化し開発するためには、下記の指針を考慮しなければなりません。
- アプリのセキュリティは、一種類の主要事項として限定することはできません。様々な側面から総合的に考慮する必要があり、アプリの開発のライフサイクル全般にかけ、必須ガイドとして発展させなければなりません。性能、有用性、使用性などと関連した他のバグや問題点とは異なり、セキュリティホールに関する問題は、時間と費用、人材面において多大な波及効果をもたらすからです。そのため、セキュリティ管理に対する継続的な強調は必須であり、慣れるまで長い時間を要することを周知させなければなりません。
- HTTPSは、セキュリティにより保護されていないHTTPのセキュリティ層として定着しており、暗号化によりブラウザとサーバー間の通信・データの整合性を安全に保つようサポートしています。HTTPSは、公開中のインターネットネットワークを利用した盗聴行為を防止するため、定義されたTLSにより具現化します。この方式は、パケットの盗聴防止とエンドツーエンドのデータ保護メカニズムの動作を保障します。
- 「閉じない」ポート接続を利用してファイルとソースへ不適切にアクセスする試みを防止するためには、セッションを適切に処理し、タイムアウト基準を設定しなければなりません。これは、ユーザープロファイリング、ユーザーのアクセス制限、一般ネットワークスキャンなどを通して処理することができます。
- OWASPによると、脆弱なサーバー側のコントロールは、最も低いリスク等級ですが、最も多く悪用されたモバイルセキュリティリスクの一つです。モバイルアプリはサーバーに接続してデータを検索できる多くのバックエンドサービスを提供するため、攻撃に使用されるおそれのある多くのポートが開いています。APIがしっかり具現化していない場合も、同様に攻撃に晒されるおそれがあります。応用プログラムを適切に検査し、サーバー側の制御の機会を弱化させるコードのリファクタリングは、このような隙を効果的に処理する方法の一つです。
ここまで、モバイルアプリが今後歩むべき道を照らしてみました。幸せで安全なクライアントを確保するためには、セキュリティ機能を速やかに導入する必要があるでしょう。
For any application security assistance email us at contact@appsealing.com.
デモを予約する
