DeNA_Techcon2017_DeNAでのチート・脆弱性診断への取り組み

Copyright (C) DeNA Co.,Ltd. All Rights Reserved.
DeNA Technology Conference 2017
DeNAでのチート診断・脆弱性診断の取り組み
株式会社ディー・エヌ・エー
システム本部セキュリティ部
セキュリティ技術グループ
杉山俊春
1

自己紹介
 所属：株式会社ディー・エヌ・エー
• セキュリティ部セキュリティ技術グループ
 名前：杉山俊春
 前職：セキュリティ関連の会社
⁃ 脆弱性診断（Web、スマートフォンアプリ）
⁃ Web脆弱性診断ツール（VEX）開発・販売
⁃ SaaS型Web診断サービス開発
⁃ 技術記事執筆など
 入社：2012年1月
 現在の業務：
⁃ 脆弱性診断、社内システムセキュリティ、
セキュリティログ管理、セキュリティ設計など
 好きなもの：猫、デザイン・イラスト系のもの
2
星野君のWebアプリ
ほのぼの改造計画 (@IT)

DeNA セキュリティ部(技術グループ)と私
3
2012
2013
2015
2013/4
セキュリティ
グループ発足
2014/4
セキュリティ部発足
・セキュリティ技術グループ←こっち
・セキュリティ推進グループ
Join!
セキュリティ部の位置づけ技術グループの成り立ち
2017/2
現在9名
セキュリティ会社出身：2名
社内教育でメンバー育成
2014
2016
2017
:異動

DeNA セキュリティ部(技術グループ)のお仕事
 リリースするアプリ・サービスのチート・脆弱性診断全般
 本番ネットワークのセキュリティ(踏み台サーバ)
 社内ネットワークのセキュリティ
 セキュリティ相談・設計
 脆弱性情報調査・社内共有
 各種セキュリティの仕組み、ツールの作成
など色々
4

セキュリティって？
5
皆さんセキュリティってどうしてますか？

「セキュリティ」と言っても幅広いので、例えば、
 スマートフォンアプリのセキュリティ
 ゲームアプリのセキュリティ
といわれて、何をしなきゃいけないかがイメージでき
ますか？
6

とあるゲームで
「まだリリースしていないアイテムを所持している
ユーザがいました」
この時、考えられる原因と対策は？
7

8
セキュリティって難しい？

情報セキュリティ人材の不足
9
出典：経済産業省 IT人材の最新動向と将来推計に関する調査結果について
http://www.meti.go.jp/policy/it_policy/jinzai/27FY_report.html

10
現在
情報セキュリティ人材 28.1万人
+13.2万人不足
すごく足りていない！？

11
でも、ちょっと待って！

12
現在
情報セキュリティ人材 28.1万人
IT人材 91.9万人
現時点でIT人材の約3割が
情報セキュリティ人材(というデータでの話)

13
いい人材が見つかるまで待つ
セキュリティ人材を育てる
実はセキュリティ人材はたくさんいる

14
セキュリティって難しい？
↓
範囲を明確にして、ひとつずつちゃんと
見ていけばそんなにややこしい話ではない！
はず…

情報セキュリティ人材の不足 – 人材育成への取り組み
 実際のゲームのセキュリティに近い形のサンプル
アプリ
• Cocos-2dx (C++)で作成
• （ソースコードのデコンパイルは困難）
• Android OS上で動作
• サーバへの通信は暗号化（？）されている
このアプリを利用して、セキュリティ・キャンプ等
のイベントでハンズオンの講義なども実施
http://dena.com/jp/csr/blog/cat277/2016/09/02/003185© DeNA
 チート勉強用サンプルアプリ１
15

情報セキュリティ人材の不足 – 人材育成への取り組み
 チート勉強用サンプルアプリ2
 チートをしないと絶対にクリアできないゲーム
• HTML + JavaScript
⁃ ソースコードの閲覧、改変は簡単
• ブラウザ上で動作
→ CTF形式の高校生向けセキュリティイベント用に作成
16

簡単なゲームでの具体的なチート例
17

 具体的な例を見てみましょう！（※勉強用のサンプルアプリです）
18
戦う相手を選んで
コマンド選択して倒す！
スタミナ回復アイテムもある

19
 大まかなシステムの図
プレイデータ
の保存
バトルの実行
処理
データ要求、結果保存
データの応答

 できてしまったら困りそうなことを適当に列挙してみる
⁃ 敵のHPを1にする
⁃ 敵の攻撃力、防御力を-99999999にする
⁃ ユーザのHPを99999999にする
⁃ ユーザの攻撃力、防御力を99999999にする
⁃ 戦闘後にもらえる経験値を99999999にする
⁃ ユーザのレベルを99にする
⁃ 使えないコマンドを使う
⁃ ひたすら連続攻撃をする
⁃ 選択できない敵と戦う
⁃ 回復アイテムを無限に使う
⁃ スタミナを消費しないで戦闘を行う
20

21
実際にどうなるかを見てみましょう！

提供するサービス、アプリ、ゲームでのセキュリティ
 できてしまったら困りそうなこと
22
できる
できるがいまいち
※0.000001とかが正解できる
できる
できる?
できる
できる
できる
できるが無効？ ※expを変えるべき
できない
できない

 攻撃シナリオを雑に割り当ててみる
• ソースコードの変更、利用中の値の直接変更
• サーバに送る値の変更
• ソースコードの変更、利用中の値の直接変更、サーバに送る値の変更
• ソースコードの変更、特定命令の強制実行
• ソースコードの変更、特定命令の強制実行
• ソースコードの変更、特定命令の強制実行、サーバに送る値の変更、サーバから受け取る値の変更
• ソースコードの変更、サーバに送る値の変更、サーバから受け取る値の変更
• ソースコードの変更、サーバに送る値の変更、サーバから受け取る値の変更
23
以下の4つくらいのパターンで分類
・ソースコード、レスポンスの変更
・利用中の値の直接変更
・特定命令の強制実行
・サーバに送る値の変更
※厳密にはここに書いてある組み合わせ
でもできると思います

24
悪い人が最終的に不正として実現したいことは……
↓
サーバ上のデータを不正なものにしたい
プレイデータの保存時
に不正なデータになっ
ていることが重要

25
ブラウザアプリ(JavaScript)だとチート簡単？
↓
スマホアプリも原理的には似たようなもの！

スマホ向けゲームのシステム構成の色々
26

ゲームのシステム構成の色々
 ローカルのみ
27
アプリダウンロード
課金処理
IAP、IAB
※IAP, IAB：In App Purchase (App Store) , In App Billing (Google Play)
App Store
Google Play

 クライアントアプリ＋サーバ（単純なデータの保存のみ）
28
課金処理 App Store
Google Play
データ読み込み
データ保存

 クライアントアプリ＋サーバ側ロジック
29
Google Play
ゲームサーバ
データ読み込み、処理結果
処理実行
課金検証
各種検証、処理実行
検証結果

 クライアントアプリ＋サーバ側ロジック＋SNS or プラットフォーム連
携
30
Google Play
ゲームサーバ
処理結果
処理実行
課金検証
各種検証、
処理実行
検証結果
処理結果
処理実行
ゲームプラットフォーム
処理結果
処理実行

スマホ向けゲームアプリに対する攻撃
31

攻撃されうるポイント
32
Google Play
ゲームサーバ
処理実行
課金検証
検証結果
メモリ改ざん
不正な通信
（リクエスト）
データ
ファイル改ざん
アプリ改ざん
不正な通信
（レスポンス）
大半の最終的な
ターゲットはここ！

スマホ向けゲームにおけるチート、不正行為
33

チート勉強用サンプルアプリ - デモ画面
レスポンス改ざんで
使えるようにできる
34
© DeNA© DeNA

チート勉強用サンプルアプリ - 通信の改ざん
リクエスト
レスポンス
普通の通信
Proxyツールを利用した改ざん
リクエスト
悪い事をする人の環境
改ざん
改ざんされた
レスポンス
改ざんされた
リクエスト
Proxy
ツール
35

 送られてるリクエストの例
POST /sfx/get_user_info.php HTTP/1.1
Accept-Encoding: identity
User-Agent: Dalvik/1.6.0 (Linux; U; Android 4.1.2; sdk Build/MASTER)
Host: appdemo.example.com
Connection: Keep-Alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 80
WgMBAQ1RU1FLX1BHRwpEUlJIGwY2Gg1RQk0RDlIaERIRFEMKXUpcQB1aRFsHTxkUGB
NFUV5EXUtJDFAW
Base64っぽいけどデコードしても謎文字列
36

チート勉強用サンプルアプリ - 通信の改ざん
Proxyツールを利用した再送
リクエスト
Proxy
ツール
37

 バイナリ解析の様子（リクエスト暗号化？の鍵を探す）
対策をしていないと、
簡単・一般的なロジックの場合、
一瞬で復号するプログラムを
作成されてしまう場合がある
1. ｢Base64｣で検索
2.ロジックをちょっと追って
鍵っぽい文字列を探す
38

チート勉強用サンプルアプリ - 通信の自動改ざん
リクエストを加工する例
③平文を
手動で改ざん
⑤改ざんされた
暗号文
Proxyツール
復号・再暗号化
モジュール
Intercept
①
②復号
④
39

40

チート勉強用サンプルアプリ - メモリ改ざん
 端末上のメモリを改ざんする例
1. アプリを止める
2. 特定の値を持つアドレスをメモリ内で検索
3. アプリを再開し、目的の値をアプリ上で変更
4. アプリを止める
5. 手順2で見つかったアドレスのうち変更後の値になったアドレスを
検索
6. 見つかったアドレス全てを目的の値に置換
7. アプリを再開
41
A68332F3 002b 0000 0050 f91f a600 0000
000a 0000
A6833303 0000 0000 0000 3039 0000 0000
0000 0000
A6833313 0000 0000 0073 0065 0000 0000
0000 0000
A6833323 0000 0000 0000 0000 0000 0000
0000 0000
:
A68332F3 002b 0000 0050 f91f a600 0000
000a 0000
A6833303 0000 0000 0000 3011 0000 0000
0000 0000
A6833313 0000 0000 0073 0065 0000 0000
0000 0000
A6833323 0000 0000 0000 0000 0000 0000
0000 0000
:
範囲指定、変化量などで
特定する方法もあり
変化を観測可能

チート勉強用サンプルアプリ - 診断に使っているツール
 Proxyツール
⁃ PacketProxy (自社ツール)
• OWASP ZAP や BurpSuite といったツールもよく利用される
 バイナリ解析ツール
⁃ IDA Pro
 メモリ改ざんツール
⁃ MemoryPatching (自社ツール)
• （一般的にGameGuardianなどの実際のチートに利用されるツールなども
利用されることがある）
 上記のような専用のツールが必要となるが、使い方を習得すれば
一定程度のチート診断が可能
42
例えば、「最低限カジュアルなチートは防ぐ」などの
どのレベルのチートを想定するかなどを決めておくことが重要

ゲームにおけるチート、不正行為 - チートは何が困るのか？ -
 チートをされてしまうと起こること
⁃ ゲームバランスが崩壊 → ゲームの寿命を著しく縮める
⁃ ユーザの不公平感を生む
⁃ 非チートユーザへの直接的被害
• PvP、GvGなどのプレイヤー間での戦闘など
⁃ 課金による発生するはずの利益の損失
→特にオンラインゲームだと影響範囲や非チートユーザの関わり方が
複雑になるため致命的になりやすい
43

スマホ向けゲーム開発におけるチート対策例
44

45
Google Play
ゲームサーバ
処理実行
課金検証
検証結果
メモリ改ざん
不正な通信
（リクエスト）
データ
ファイル改ざん
アプリ改ざん
不正な通信
（レスポンス）
 基本的には攻撃されうるポイントを対策していけばよい

 チート対策の難しい部分
⁃ 特にクライアント上の対策については、仕組み上どう頑張っても完
璧な対策が無理な場合がある。いたちごっこ状態。
• 一定は運用でカバーする、という選択肢もある
⁃ 巧妙なチートユーザは発見が難しい
• チートなのか、単純に運がいい・上手いプレイなのかの区別がつかない
• 複製アイテムの所有者が善意の第三者の場合があるなど
46

 攻撃されうるポイントへの対策
⁃ 不正な通信（リクエスト・レスポンス）
• サーバサイドでの値チェック
⁃ 取りうる値の範囲、条件
⁃ パラメータの形式チェックなど
• 通信の保護
⁃ 証明書Pinning
• 単純な通信のhttps化などだけではチート対策にはならない
⁃ 通信データの独自暗号化
⁃ 送受信データの改ざん検知など
→仮に突破されても不正の兆候を捕らえられるようにしておくと
Good
47
Proxy
ツール
Pinning
値チェック

⁃ メモリ改ざん、データ改ざん
• 暗号化して保存する！
⁃ 暗号ロジック、鍵がすぐに取り出せるとほとんど意味がないので、
「解析・デコンパイル対策」も頑張る
48
A68332F3 002b 0000 0050 f91f a600 0000
000a 0000
A6833303 1c80 d55b 1e6c 3658 0000 0000
0000 0000
A6833313 0000 0000 0073 0065 0000 0000
0000 0000
A6833323 0000 0000 0000 0000 0000 0000
0000 0000
:
A68332F3 002b 0000 0050 f91f a600 0000
000a 0000
A6833303 af40 0ff5 67ff a4c7 0000 0000
0000 0000
A6833313 0000 0000 0073 0065 0000 0000
0000 0000
A6833323 0000 0000 0000 0000 0000 0000
0000 0000
:
メモリ
見た目の変化とメモリ上の変化が異なる
見た目上の変化：12345 -> 12032
メモリ上の変化：1e6c 3658 -> 67ff a4c7
暗号化されて読めないデータ

⁃ 解析・デコンパイル対策
• デコンパイルが難しい言語を使う
⁃ 例えば、Androidの場合、重要な処理はJavaで書かず、JNI等を使っ
て別の言語で記述した処理を呼び出すなど。
⁃ できない場合は難読化を頑張る
• 暗号化などは一般的なものをそのまま使わない
⁃ 例えば、「AESだ！」とわかったら、ロジックを解析する必要はな
く、鍵だけ探せば復号できてしまう
• Packerのような解析対策の仕組みを導入する
• バイナリ内のシンボル情報を削除する
などの対策をいれる
49
※基本的にどのくらい解析が難しくなるか、という問題

まとめ
 チート対策をするには、まず、『何ができるの
か』を知る事が重要
⁃ 簡単なサンプルから始めて原理を理解できると
よい
 チートの難易度と対策・運用のコストを考えなが
らバランスよく運営をしていく必要がある
50

DeNA_Techcon2017_DeNAでのチート・脆弱性診断への取り組み

More Related Content

What's hot

Similar to DeNA_Techcon2017_DeNAでのチート・脆弱性診断への取り組み

DeNA_Techcon2017_DeNAでのチート・脆弱性診断への取り組み