1. 安全なTwitterクライアント
への試行錯誤
川戸 正裕
@m_kawato
2012/1/28 第3回Twitter研究会 LT 1

2. 動機
• スマートフォン向けのTwitterクライアントア
プリ作りたい
• ターゲットはとりあえずAndroid
• せっかくなのでAndroid Marketで配布した
い
2012/1/28 第3回Twitter研究会 LT 2

3. TwitterクライアントとOAuth
• Twitterクライアント作成にはOAuthが必須
– 昔はBASIC認証も使えたけど
• ユーザのID・パスワードを直接持つ必要がな
い
• クライアントに委譲する権限 (投稿、DM読み
込み、etc.) を制御可能
2012/1/28 第3回Twitter研究会 LT 3

4. OAuthプロトコルの流れ
クライアント twitter.com
(OAuth Consumer) (OAuth Provider)
ユーザ Consumer
ログイン操作 Secret Consumer
Key
リクエストトークン取得
Request Token
ユーザ認証 (ID、パスワード)
アクセストークン発行
タイムライン取得操作など
Twitter API Access Token
2012/1/28 第3回Twitter研究会 LT 4

5. 問題
• OAuthプロトコルの一部として、クライアント
認証のためにConsumer Key/Secretが必
要
• Webアプリの場合、プログラムコードに埋め
込んでも一般ユーザには見えない
• スマートフォン上で動くアプリの場合、コード
が読まれる可能性あり
2012/1/28 第3回Twitter研究会 LT 5

6. Androidのディレクトリ構造
/system リードオンリー
システムファイル (標準アプリ、ライブラリなど)
/data/app 一般ユーザ読み書き不可
マーケット等からインストールしたアプリ
/data/data 一般ユーザ読み書き不可
アプリで保存するデータ
/mnt/sdcard 一般ユーザ読み書き可
SDカード
2012/1/28 第3回Twitter研究会 LT 6

7. 普通の方法で /data を見ると
2012/1/28 第3回Twitter研究会 LT 7

8. root取得後
アプリケーション
パッケージ
(APK)
2012/1/28 第3回Twitter研究会 LT 8

9. APKファイルの中身を覗いてみる
Dalvikバイトコード (jar相当)
リソースファイル (バイナリ化XMLファイル)
2012/1/28 第3回Twitter研究会 LT 9

10. リバースエンジニアリングによる
Consumer Key/Secret推測
• root化によるapkファイル抜き出し
• Dalvikバイトコードの逆コンパイル
• バイナリ形式XMLファイルのテキスト化
• クラス名、メソッド名などのシンボルから記述
箇所を推測
2012/1/28 第3回Twitter研究会 LT 10

11. どういう問題があるか?
• 悪意のあるアプリにTwitterクライアントを偽
装される
– 一旦ユーザにより委譲された権限を用いて、DM
読み取りなどの攻撃につながる可能性
• Consumer Keyの無効化は可能
– 当然今までのクライアントは使えなくなる
2012/1/28 第3回Twitter研究会 LT 11

12. 対策
• ソースコード難読化
– ProGuard (Android SDK添付)
• 外部サーバに "APIプロキシ" を設置
– 今度はAPIプロキシとの認証の問題
Android端末 APIプロキシ
Consumer
クライアント Consumer twitter.com
Secret
アプリ Key
参考: Should I obfuscate OAuth consumer secret stored by Android app? - stackoverflow
http://stackoverflow.com/questions/7121966
2012/1/28 第3回Twitter研究会 LT 12

13. ご清聴ありがとうございました
2012/1/28 第3回Twitter研究会 LT 13