サービス概要
iOS／Androidアプリについて、配布パッケージの静的解析と、実機・エミュレーター上での動的解析を組み合わせて診断します。ネイティブアプリとクロスプラットフォームアプリのいずれも、採用技術と構成を確認したうえで検証方法を設計します。
アプリ単体だけでなく、端末内のデータ、通信、バックエンドAPIを一つのシステムとして扱います。root化／Jailbreak（脱獄）環境、フッキング、改変したアプリ、APIへの直接リクエストなど、通常の利用画面とは異なる攻撃条件も必要に応じて再現します。
対象例
- iOS／Android向けの一般利用者用アプリ、業務アプリ
- 金融、決済、会員証、ヘルスケアなど機微情報を扱うアプリ
- Bluetooth、NFC、独自プロトコル、周辺機器と連携するアプリ
- アプリが利用するWeb API、認証基盤、プッシュ通知、ディープリンク
- SDKやライブラリとして他のアプリへ組み込むコンポーネント
主な検証観点
アプリ本体
バイナリやパッケージを解析し、埋め込まれた認証情報、不要なデバッグ機能、ログ出力、WebView、外部公開されたコンポーネント、ディープリンク、難読化や改ざん耐性を確認します。
端末内の情報
設定、データベース、キャッシュ、バックアップ、クリップボード、スクリーンショットなどに機微情報が残らないか、暗号鍵やトークンが適切に扱われているかを確認します。
通信
TLSと証明書検証、平文通信、独自プロトコル、通信内容の改変や再送を確認します。証明書検証を回避した攻撃環境も用い、アプリ側の保護だけに依存していないか検証します。
バックエンドAPI
認証・認可、入力処理、レート制限、端末やアプリの識別、業務ロジックを確認します。クライアント側の表示や判定を回避してAPIを直接利用した場合も検証します。
攻撃・リスクの具体例
- 端末内のファイルやログから、トークンや個人情報を取得できる
- ディープリンクやアプリ間連携を悪用し、意図しない画面や処理を呼び出せる
- 改変アプリから金額、状態、端末情報を偽装して送信できる
- APIを直接操作し、他ユーザーの情報や管理対象へアクセスできる
- 通信やローカル判定を書き換え、利用制限やセキュリティ機能を回避できる
進め方と成果物
テスト用ビルド、対象OS、アカウント、API情報、確認したい脅威をご用意いただき、アプリ・通信・サーバーの診断範囲を決定します。報告書には、再現条件、操作や通信の証跡、影響、修正方針を、アプリ側とサーバー側に分けて記載します。