Quick takeaways from our chapter meetings in 2022 (OWASP Saitama MTG #11, talk #1)

1. LOOKING BACK 2022
20.12.2022 OWASP SAITAMA MTG #11, TALK #1

2. TEXT
SESSION FLAGS
▸ 録画・録音・公開: OK
Image by Nico Kaiser on flickr, CC-BY 2.0

3. TEXT
WHO I AM
▸ Takahiro Yoshimura (@alterakey)
https://keybase.io/alterakey
▸ Monolith Works Inc.
Co-founder, CTO
Security researcher
▸ 明治大学サイバーセキュリティ研究所
客員研究員

4. TEXT
WHAT I DO
▸ Security research and development
▸ iOS/Android Apps
→Financial, Games, IoT related, etc. (>200)
→trueseeing: Non-decompiling Android Application
Vulnerability Scanner [2017]
▸ Windows/Mac/Web/HTML5 Apps
→POS, RAD tools etc.
▸ Network/Web penetration testing
→PCI-DSS etc.
▸ Search engine reconnaissance
(aka. Google Hacking)
▸ Whitebox testing
▸ Forensic analysis

5. TEXT
WHAT I DO
▸ CTF
▸ Enemy10, Sutegoma2
▸ METI CTFCJ 2012 Qual.: Won
▸ METI CTFCJ 2012: 3rd
▸ DEF CON 21 CTF: 6th
▸ DEF CON 22 OpenCTF: 4th
▸ 発表・講演など
DEF CON 25 Demo Labs (2017)
DEF CON 27 AI Village (2019)
CODE BLUE (2017, 2019)
CYDEF (2020) etc.
Image by Wiyre Media on flickr, CC-BY 2.0

6. 2022 ..

7. JANUARY

8. TEXT
FRONT: BEIJING REPORT
▸ 北京オリンピックが開幕した月
▸ 公式アプリが情報を抜き出しているのではない
かという疑惑 → 検証だ！

9. TEXT
TAKEAWAYS
▸ 北京五輪公式アプリ
▸ 当局は全関係者にインストールを要求
▸ 各国は選手などに個人端末を持ち込まないよう
に通知
▸ 米Citizen Labsからの懸念
→現在世界中の注目を集めている問題

10. TEXT
TAKEAWAYS
▸ 懸念は至極妥当と考えられる
▸ 大量の権限要求および平文通信
▸ DNS over API + 「不正」語句
→検知されたらどうなってしまうのか…？
▸ ほぼ全域に渡る暗号化ロジック
→隠蔽の強い意図を感じる面白い構造
▸ アプリの機能全てがリモートからコントロール
可能な状態 → ほぼバックドアと見て良い
Image by *Yu7yU* on flickr, CC-BY-NC-ND 2.0

11. TEXT
TAKEAWAYS
▸ radare2の分布解析はかなり有効
(VV → p → p → p → p)
▸ またr2はdalvikコード解析にもかなり有効
▸ trueseeing: rebooted (2.1.1.1; ~4w iter.)
https://github.com/alterakey/trueseeing
▸ 書いたextensionはこちら:
https://gist.github.com/alterakey/
e1e92bdfdad25587ebeda2267b389fc2

12. TEXT
TAKEAWAYS
▸ Related works:
[1] https://github.com/
jonathandata1/2022_beijing

13. TEXT
FRONT: BEIJING REPORT
▸ 北京オリンピックが開幕した月
▸ 公式アプリが情報を抜き出しているのではない
かという疑惑 → 検証だ！
▸ 大量の権限要求と禁止語句と暗号化dexの恐怖
→現在地もだだ漏れ
→検知されたらなにが起きてしまうのか
▸ trueseeing・ghidra・radare2の猛威

14. TEXT
BACK: CIS BENCHMARKING OF MANAGED K8S
▸ k8sクラスタの安全性評価にCISベンチマークを
適用した話

15. TEXT
TAKEAWAYS
▸ クラウド環境で運用している=managed
▸ 変更可能なのは一部の設定値のみ
▸ ノードがうつろい変わる
→伝播できないものは実質的に設定不能
▸ マルチクラウド: 各社ノウハウがある
→各社ともBenchmarkの存在は意識
→だが統制が取れていない！
▸ 検証ツールは役に立たない
Image by Elliot Brown on flickr, CC-BY-SA 2.0

16. TEXT
TAKEAWAYS
▸ Benchmarkはといえば
▸ 言っていることは極めて妥当
▸ 確認すべき視点は各社共通
▸ 権限/攻撃サーフェスの最小化
▸ 必要権限は明確化し認可機構を使う
▸ 特権の制約: PSP大事
▸ 監査視野の確保
Image by Dr Case on flickr, CC-BY-NC 2.0

17. TEXT
TAKEAWAYS
▸ Benchmarkはといえば
▸ 妥当性に疑問符がつきかねない記述
▸ ノード単位の設定値変更がscored扱い
▸ 曖昧かつ包括的で定性的な記述が放置
▸ 書きかけあるいは不正確な記述が放置
▸ 繰り返すがこれは回顧録…
今はマシになっていることを願うばかり
Image by Mike Finn on flickr, CC-BY 2.0

18. TEXT
BACK: CIS BENCHMARKING OF MANAGED K8S
▸ k8sクラスタの安全性評価にCISベンチマークを
適用した話
▸ うちのチャプターにしては珍しく手堅い話
↑すみません
▸ ツールが役に立たない上に、基準もずいぶんと
定性的な書き方がされていて悩まされた…

19. MARCH

20. TEXT
FRONT: SECURING SUPPLY CHAIN
▸ この月の前月にロシア・ウクライナ軍事衝突
→これがテーマになっていた回だった
→1周年でもあったが戦争で霞んだ。合掌
▸ 相次ぐサボタージュ: faker.js, node-ipc etc.
NPMにおけるパッケージハイジャック…
→ サプライチェーン攻撃の現状と対策はどう
なっているんだ？

21. TEXT
TAKEAWAYS
▸ FLOSSエコシステムに潜む問題
▸ 基本的に善意で成り立っている
▸ エコシステムの問題を突いた攻撃が
サプライチェーン攻撃
▸ typosquatting
▸ dep. confusion
▸ Account takeover
▸ Delibrate sabotage
Image by Richard Says on flickr, CC-BY-NC-ND 2.0

22. TEXT
TAKEAWAYS
▸ SBOMの正確な把握・メンテナンスが大事
▸ SBOM: pinされたdependency graph
▸ Private indexを使うならいつでも最優先に
▸ 事故もあったがツールチェインもそろってきた
▸ Python: pip-tools / poetry
▸ JS: package lock + npm ci
Image by Jazz DiMauro on flickr, CC-BY-NC-ND 2.0

23. TEXT
FRONT: SECURING SUPPLY CHAIN
▸ この月の前月にロシア・ウクライナ軍事衝突
→これがテーマになっていた回だった
→1周年でもあったが戦争で霞んだ。合掌
▸ 相次ぐサボタージュ: faker.js, node-ipc etc.
NPMにおけるパッケージハイジャック…
→ サプライチェーン攻撃の現状と対策はどう
なっているんだ？
▸ これも手堅い話になってしまった

24. TEXT
BACK: WARTIME PIGEONS
▸ ウクライナ側のIT Armyが快進撃
→サイバー民兵とでもいうべき組織…
▸ 指揮系統がなんとTelegram;
これって安全なんだろうか？ → 検証だ！

25. TEXT
TAKEAWAYS
▸ IT Armyの指揮にTelegramが使用されている
▸ TelegramクライアントはFLOSS
▸ サーバは英国またはオランダ
▸ 目立って安全というわけではない
▸ むしろ若干の不安が残る
→いくつかの問題、加えて運営が不透明
→個人的には使いたくない

26. TEXT
TAKEAWAYS
▸ どちらかといえばSignalのほうがいいが…
▸ 電話番号に関連付けるのはやめてほしい

27. TEXT
OPEN QUESTIONS, REVISITED
▸ サーバはどこにあるのか
▸ 政権の手が届く可能性は？ → 多分ない
▸ 義勇軍の指揮に耐えるような安全性なのか
▸ ユーザの身元が割れる可能性は？→ある
▸ ユーザの周辺人物が割れる可能性は？→ある
▸ 裏切りかねない隠し機能などの存在は？
→多分ない
Image by ☼☼Jo Zimny Photos☼☼ on flickr, CC-BY-NC-ND 2.0

28. TEXT
BACK: WARTIME PIGEONS
▸ ウクライナ側のIT Armyが快進撃
→サイバー民兵とでもいうべき組織…
▸ 指揮系統がなんとTelegram;
これって安全なんだろうか？ → 検証だ！
▸ 多分大丈夫だが、個人的には使いたくない結果

29. JUNE

30. TEXT
FRONT: NYARLATHOTEP
▸ 雨が少なかった月; この回から偶数月開催に…
▸ 「這い寄る混沌」
→ユーザ追跡の現状について

32. HTTP COOKIE
Tracking cookies, and especially third-party tracking cookies

33. HTTP COOKIE
➤ GDPRをはじめ、各国にて規制が進む
（日本でも2022年4月に改正個人情報
保護法施行済）
➤ ユーザーの同意を求める

35. IS IT SAFE IF WE DENY?

36. HTTP COOKIE
➤ 収集の同意に拒否した場合
➤ 実は大きな影響はない
➤ そもそもCookieというのは…

37. TEXT
FRONT: NYARLATHOTEP
▸ 雨が少なかった月; この回から偶数月開催に…
▸ 「這い寄る混沌」
→Cookieによる追跡、GDPR…
→Cookieを拒否すればプライバシーは万全！？
→軽く見てもらっては困るよ。
▸ これは単なる始まりに過ぎなかったのだ。

38. TEXT
BACK: STARING INTO CHAOS
▸ Androidが壊れ…iOSに10年ぶりに回帰
そこで見た地平は…

39. TEXT
CONCLUSION
▸ 人力レビューは自動解析+デストラップよりも有効と
は決して言えない
▸ iOSは人間が見ているから安全という大衆信仰には
全く根拠がない; むしろ危険 (i.e. false sense of …)
▸ ただの一点の状態を検証しているだけ
→Android方式には賛否両論あるが優秀
▸ 人間には人間のミス; 利点としては感性のみ
→見落し、心理状態など

40. TEXT
CONCLUSION
▸ Stay safe!

41. TEXT
BACK: STARING INTO CHAOS
▸ Androidが壊れ…iOSに10年ぶりに回帰
そこで見た地平は…
▸ 手動確認をかいくぐるアプリの遍在
偽説明・リモートフラグ・かませコンテンツ etc.
▸ 一般に言われるような安全性はほぼ皆無
→開発側の事情も分かるがいささかやりすぎ
→False sense of securityが実情

42. AUGUST

43. TEXT
FRONT: NYARLATHOTEP
▸ 暑かった月
▸ 続「這い寄る混沌」
▸ Cookieless monster！

44. COOKIELESS MONSTER
New Tracking Tool Is Like a Cookie That Can't be Blocked

45. FURTHER FINGERPRINTING
➤ 国内では明治大学の齋藤ラボが先行
➤ さまざまな手法が考案されている
➤ 決定論的フィンガープリント
➤ 確率的フィンガープリント
➤ 時空的類似性 (e.g. DrawBridge etc.)
➤ 関心的類似性 (e.g. GraphTrack,
[Wang et al. 2022])
➤ フィンガープリント対象はブラウザやデ
バイスからユーザ自身へ

48. “
H.P.LOVECRAFT
Nyarlathotep…the crawling chaos…I
am the last…I will tell the audient
void…
I do not destinctly when it began, but it
was month ago. The general tension
was horrible. To a season of political
and social upheaval was added a strange
and brooding apprehension of hideous
physical danger; a danger widespread
and all-embracing, such a danger as
may be imagined only in the most…

49. TEXT
FRONT: NYARLATHOTEP
▸ 暑かった月
▸ 続「這い寄る混沌」
▸ Cookieless monster！
→Cookieを使わず忍び寄る
▸ Fingerprinting
→デバイスの特定からユーザ自体の特定へ
▸ 背筋も凍る…宇宙的恐怖を届けた回

50. TEXT
BACK: CHASING IN THE BACKSTAGE
▸ TikTok, しばらく見ていなかったので再訪

51. TEXT
PROTECTION
▸ 静的に存在しない
→Objective-C 2.0 Message解析が効かない
→iOSアプリ解析においては致命的
▸ 随分と特殊な構造
▸ 歴代のTikTok、および同社による並行プロダク
ト (e.g. Lemon8) では例を見ない… 姑息な手段

52. TEXT
BREACHING THE PROTECTION
▸ メモリダンプ攻撃
▸ 実際に動作させ仮想メモリを根こそぎ収集
→動的情報を横取りする常套手段
▸ Fridump
→readonly/writableの2セット取る
▸ cfstring, selrefsもこれで取れる…はず

53. TEXT
BREACHING THE PROTECTION
▸ メモリダンプ攻撃
▸ …が、ASLRの介在に注意
▸ ASLR: Address Space Layout Randomization
▸ 端末が実行時にアドレス空間をシャッフル
▸ メモリ破壊系攻撃に対する重要な防御機構
（Buffer over
fl
ow, Return-oriented
programmingなど）

54. TEXT
PROTECTION IS HISTORY
▸ 有意義な情報が取れるようになった
(~30min. / M1 MacBookPro)
▸ 若干の問題
▸ objc_msgSendなどのC APIコールの解決
▸ セクションの継続的な貼り込み

55. TEXT
TAKEAWAYS
▸ In-app browser汚染検出サイトは万能ではない
▸ Androidもおそらく同様 (payloadが確認できる)
▸ In-app browserは外からいろいろ介入できる
▸ In-app browserを優先する風潮はどうなのか
→ユーザに選択肢を提供すべき
→Androidも同様

56. TEXT
BACK: CHASING IN THE BACKSTAGE
▸ TikTok, しばらく見ていなかったが…
▸ iOS: 監視機構にメモリレイアウトのパズル
→望むところだ、というところで解読成功
▸ Android: 時間切れ… orz
▸ in-app browserは思ったよりいろいろできる
→優先する風潮はもういい加減に滅びるべき
（e.g. LINE/Facebook etc.）

57. OCTOBER

58. TEXT
FRONT: HAZY DATAGRAMS
▸ ビール祭りの月; 初のハイブリッド開催
春日部市ふれあいキューブ → 遠かったですよ
ね…
▸ Noise Protocol Framework:
暗号プロトコルのフレームワーク
→ 安全なの？

59. TEXT
TAKEAWAYS
▸ Noiseは暗号プロトコルフレームワーク
▸ 構成要素を厳選・ブロック化・パターン化
→新規に追加もできるが…
▸ 単純・高速・安全なプロトコル設計に寄与
→先進的特性を持つプロトコル設計にも対応
(0-RTT, post-quantum resistanceなど)
▸ 証明可能性を開いたとも言える…
Image by Daisuke Matsumura on flickr, CC-BY-NC 2.0

60. TEXT
TAKEAWAYS
▸ Noise Explorer: Kobeissiらによる設計・モデリン
グ系 [Kobeissi18]
▸ 公式57パターンのみならず任意設計に対しても
ProVerifモデルを生成可能
▸ ProVerif: INRIA制作の暗号プロトコル検証ツール
攻撃的ネットワーク（Dolev-Yaoモデル）下にお
いて系の持つ安全性を代数的に証明
▸ 証明可能な安全性がかなりaccessibleになった

61. TEXT
TAKEAWAYS
▸ Noiseを使用しているからといって全てが安全な
わけではない
▸ 例: NN (= anonymous DHと等価)
▸ 自作する場合:
ドキュメント7.3項のガイドラインに従う他に、
できる限り証明を行う
Image by SonnyandSandy on flickr, CC-BY-NC-ND 2.0

62. TEXT
FRONT: HAZY DATAGRAMS
▸ ビール祭りの月; 初のハイブリッド開催
春日部市ふれあいキューブ → 遠かったですよね…
▸ Noise Protocol Framework:
暗号プロトコルのフレームワーク
→ 一見分かりにくいが実は合理的
→ 安全なの？ … 証明可能性が開かれていた
▸ ProVerif: 暗号プロトコルに対する形質証明ツール
▸ ただ使っても自動的に安全にはならないので
設計した場合には自身で証明しようの巻

63. TEXT
BACK: CHAPTER INTRODUCTION
▸ いつものチャプター紹介; 片手落ちの月だった…

64. DECEMBER

65. TEXT
FRONT: LOOKING BACK 2022
▸ 一年の最後の月; 2回目のハイブリッド
さいたま市RaiBoC会議室
▸ ふりかえりだ！

66. KEEP

67. TEXT
WHAT TO KEEP
▸ 一年開催できたこと
▸ チャプターgithubでプロジェクトとして追跡
▸ 見やすい
▸ やろうという気にしてくれた
▸ これは良かった…

68. TEXT
WHAT TO KEEP
▸ 実践的な話題を提供できたこと
▸ アプリなどの解析
▸ 検証
▸ ハイブリッド開催ができたこと
▸ 偶数月開催へのスイッチができたこと

69. PROBLEM

70. TEXT
WHAT IS PROBLEM?
▸ 告知が毎度のごとく雑
▸ 早め早めで告知していこうと思っているが…
▸ 外部から講師を呼べていない
▸ 時間的余裕のなさ; 月末…
▸ ワークショップやるやる詐欺
▸ コロナ禍はいい加減に滅べ

71. TRY

72. TEXT
WHAT TO TRY NEXT YEAR
▸ ハイブリッド交互開催の継続
▸ より挑戦的な話題の提供
▸ ワークショップをやる
→Juice ShopでCTFとか…
▸ 外部から講師を呼ぶ （誰か！）

73. Q?

74. FIN.
20.12.2022 TAKAHIRO YOSHIMURA (@ALTERAKEY)