【CEDEC 2013】スマートフォン端末のセキュリティの重要性と対策、Cryptaniumの提供するソリューション

ソフトウェアプロテクションとWhite-Box暗号ソリューションを研究、開発しているwhiteCryption社の長尾豊氏は、「ゲームをはじめとするモバイルアプリケーションに対する不正行為と対策」と題し、スマートフォン端末のセキュリティの問題点と対抗策について講演を行いました。

近年著しい成長をし、2011年にはPCプレイの販売台数を超えたというスマートフォン。その利用者のうち34%は、銀行口座情報やメールパスワードといった個人情報を端末内に保存しており、アメリカだと利用者の51%がオンラインバンキングを利用しています。しかし、スマートフォンを標的としたマルウェアは増加しているにも関わらず、スマートフォンとタブレットのうち、セキュリティソフトウェアを利用しているのは5%以下にとどまっているのが現状です。

長尾氏はまずAndroidとiOS、それぞれのセキュリティ上の弱点を挙げます。Androidはオープンソースであるため、ハッカーがAndroidに精通していること、また、第3者によるアプリのインストールが容易にできるため、マルウェアの混入する可能性が高くなっていることを指摘しました。さらにAndroid端末の普及が急激に伸びていることで、Androidを標的にした悪意あるソフトウェアの数も急増しているとのこと。

iOSの弱点として、アンチウィルスソフトウェアの普及率の低さと、悪意を持ったソフトウェアがアプリストアの審査を通過してしまうことを長尾氏は挙げました。アプリ開発者もiOS自体のセキュリティに依存しているのが現状で、iOSのセキュリティに問題が起きた場合、すべての保護されていないアプリが危険に晒されてしまう可能性をはらんでいます。

Android、iOSともにOSレベルでのセキュリティは絶対的なものでなく、端末内のアプリやデータの権限管理はいずれ解除されてしまうものだと長尾氏は続け、よってアプリケーション自体を保護することがセキュリティにおいて肝要であるとします。そこで長尾氏は、自社の提供するCryptaniumについて紹介しました。Cryptaniumはソフトウェアを保護する技術「コードプロテクション」、オープンアーキテクチャにおいて完全な鍵の秘匿を行う暗号ライブラリ「セキュアキーボックス」から成り立つプロテクション技術です。

「コードプロテクション」は、C、C++、Objective-Cのソースコードを保護する技術です。これを通すことで完全性の保証、著作権侵害への対策、コードの難読化、アンチデバッグといったものが施されたソースコードをアウトプットすることができます。「コードプロテクション」の利用にあたってコードそのものやビルド方法を大幅に変更する必要がないため、既存のビルド環境から保護されたアプリケーションを生成でき、GUIツールから自動的にコードプロテクションをかけられるというのが特徴です。プロファイリング技術によってパフォーマンスの最適化も行われます。

「セキュアキーボックス」は強固な数学的コード変換を用いたWhite-Boxという分野の技術で、その名の通り、中身が見えてしまっても破ることができないという技術です。元の暗号モジュールを「セキュアキーボックス」の暗号モジュールに置き換えることで使え、これによってソフトウェアの使う暗号鍵や暗号アルゴリズムをソフトウェアベースで保護することができるのが強みです。

Cryptaniumでは、コード内に互いに複雑に重複する数千のチェッカーを挿入することでコードの完全性を保護しています。コード改竄のためにはこれらのチェッカーをすべて同時に外す必要があり、改竄は非常に困難であると長尾氏は説明しました。APKパッケージの変更も検知しパッケージ内容の改竄も防止しています。また、同じソースコードであっても保護したあとにアウトプットされるソースコードは毎回異なり、普遍的なクラックツールの作成を困難なものものにしているとのことです。ほかにもCryptaniumには静的／動的なバイナリ解析への対策、Anti-Piracy、アプリケーションの動作の保護などが盛り込まれているとのことでした。

Cryptaniumは2つのソリューション「コードプロテクション」と「セキュアキーボックス」を組み合わせて非常に強固なプロテクションを実現しますが、片方だけを利用することも可能だということです。

スマートフォン端末の躍進で、端末のセキュリティは今後さらなる重要性を帯びてくるのは間違いないでしょう。そのとき、長尾氏が冒頭で指摘したようなアプリケーションレベルでのプロテクションは欠かすことのできない重要な案件となりそうです。

【CEDEC 2013】スマートフォン端末のセキュリティの重要性と対策、Cryptaniumの提供するソリューション

関連ニュース

特集

CEDEC 2013

セキュリティ