安全なTwitterクライアントへの試行錯誤

安全なTwitterクライアントへの試行錯誤川戸正裕 @m_kawato2012/1/28 第3回Twitter研究会 LT 1

動機• スマートフォン向けのTwitterクライアントアプリ作りたい• ターゲットはとりあえずAndroid• せっかくなのでAndroid Marketで配布したい2012/1/28 第3回Twitter研究会 LT 2

TwitterクライアントとOAuth• Twitterクライアント作成にはOAuthが必須 – 昔はBASIC認証も使えたけど• ユーザのID・パスワードを直接持つ必要がない• クライアントに委譲する権限 (投稿、DM読み込み、etc.) を制御可能2012/1/28 第3回Twitter研究会 LT 3

OAuthプロトコルの流れクライアント twitter.com (OAuth Consumer) (OAuth Provider) ユーザ Consumer ログイン操作 Secret Consumer Key リクエストトークン取得 Request Token ユーザ認証 (ID、パスワード) アクセストークン発行タイムライン取得操作など Twitter API Access Token2012/1/28 第3回Twitter研究会 LT 4

問題• OAuthプロトコルの一部として、クライアント認証のためにConsumer Key/Secretが必要• Webアプリの場合、プログラムコードに埋め込んでも一般ユーザには見えない• スマートフォン上で動くアプリの場合、コードが読まれる可能性あり2012/1/28 第3回Twitter研究会 LT 5

Androidのディレクトリ構造 /system リードオンリーシステムファイル (標準アプリ、ライブラリなど) /data/app 一般ユーザ読み書き不可マーケット等からインストールしたアプリ /data/data 一般ユーザ読み書き不可アプリで保存するデータ /mnt/sdcard 一般ユーザ読み書き可 SDカード2012/1/28 第3回Twitter研究会 LT 6

普通の方法で /data を見ると2012/1/28 第3回Twitter研究会 LT 7

root取得後アプリケーションパッケージ (APK)2012/1/28 第3回Twitter研究会 LT 8

APKファイルの中身を覗いてみる Dalvikバイトコード (jar相当) リソースファイル (バイナリ化XMLファイル)2012/1/28 第3回Twitter研究会 LT 9

リバースエンジニアリングによる Consumer Key/Secret推測• root化によるapkファイル抜き出し• Dalvikバイトコードの逆コンパイル• バイナリ形式XMLファイルのテキスト化• クラス名、メソッド名などのシンボルから記述箇所を推測2012/1/28 第3回Twitter研究会 LT 10

どういう問題があるか?• 悪意のあるアプリにTwitterクライアントを偽装される – 一旦ユーザにより委譲された権限を用いて、DM 読み取りなどの攻撃につながる可能性• Consumer Keyの無効化は可能 – 当然今までのクライアントは使えなくなる2012/1/28 第3回Twitter研究会 LT 11

対策• ソースコード難読化 – ProGuard (Android SDK添付)• 外部サーバに　"APIプロキシ" を設置 – 今度はAPIプロキシとの認証の問題 Android端末 APIプロキシ Consumer クライアント Consumer twitter.com Secret アプリ Key参考: Should I obfuscate OAuth consumer secret stored by Android app? - stackoverflowhttp://stackoverflow.com/questions/71219662012/1/28 第3回Twitter研究会 LT 12

ご清聴ありがとうございました2012/1/28 第3回Twitter研究会 LT 13

安全なTwitterクライアントへの試行錯誤

by Masahiro Kawato on Jan 28, 2012

Accessibility

Categories

Tags

Upload Details

Usage Rights

2 Embeds 3

Statistics

安全なTwitterクライアントへの試行錯誤 — Presentation Transcript

http://a0.twimg.com	2
http://paper.li	1