クロスプラットフォ`ム蝕kを辛嬬にする珂看稼温界温
3 likes1,240 views
2018定4埖20晩、23晩_岸の仝?スマホアプリの_kを篇されている圭駅? リ`ズナブルに、互瞳|でセキュアなスマホアプリを恬るコツ々でのv處Y創
More Related Content
What's hot (20)
Similar to クロスプラットフォ`ム蝕kを辛嬬にする珂看稼温界温 (20)
More from Monaca (20)
Recently uploaded (6)
クロスプラットフォ`ム蝕kを辛嬬にする珂看稼温界温
- 1. 1URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. クロスプラットフォ`ム_kを辛嬬にする Monacaとそのセキュリティ貨 アシアル幄塀氏芙 旗燕函叨 弥嶄屎圍 masahiro@asial.co.jp 2018定4埖23晩
- 2. 2URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. アシアル幄塀氏芙 氏芙古勣 ? I2002定 ? Y云署1000嵐 ? 並I侭|奨┗症脾、サンフランシスコ ? IT方瑳s50兆8忽汐 並I坪否 ? _kプラットフォ`ム並I咲_kツ`ル、UIフレ`ムワ`ク ? _k屶址並I坤▲廛裼_k、サ`バ`サイドPHP_k ? 縮圄並I坤肇讒`ニング、鵡P
- 3. 3URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. バックエンドからフロントエンドまで フルスタック_kを誼吭としています
- 4. 4URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. MonacaのB初
- 5. 5URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. モバイルアプリ_k児P Monaca HTML5、JavaScript でアプリ_k セットアップ音勣の クラウド_kh廠 UIフレ`ムワ`ク Onsen UI喜d 芦伉の晩云Zサポ`ト
- 6. 6URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. iOS & Android鬚韻離▲廛蠅鰺r_k ? Web兵斜gでモバイルアプリ_k ? モバイルアプリ_kの隆UY宀に恷m ? 屡贋のWeb_kチ`ムがアプリ_kチ`ムに ? アプリの\喘コストをゝ弔傍p ? ネイティブC嬬を聞ったアプリ_kも辛嬬
- 7. 7URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. JavaScriptの弊順がﾚがっていく Stack Overflow Survey 2017 Stack Overflow Survey 2013 ＾It¨s Official: JavaScript Is The Most Commonly Used Programming Language On Earth.￣ - Daniel Rowinski, Editor-in-Chief at ARC ☆ StackOverflow: 850嵐繁の鞠hユ`ザ`、1500嵐周の |と指基を宇える、弊順恷寄の_k宀コミュニティ
- 8. 8URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. 互いUI/UXを燕FするUIコンポ`ネント蛤 ? ？なモバイルUIの何瞳をiOSと Android鬚韻北畊 ? 極挑のOSにあわせて徭啜弔縫妊競 ンをm喘 ? 揖じソ`スコ`ドでクロスプラット フォ`ムUIをgF ? Angular、React、Vue、jQueryなど 光Nフレ`ムワ`クに
- 9. 9URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Monacaは ＾プラットフォ`ム＾ Monacaクラウド Webベ`スのIDE デバッガ` 挫きなIDE/エディタ プロジェクト砿尖 コ`ド砿尖 リモ`トビルド mBaaS
- 10. 10URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. 晩云で恷も噸式しているアプリ_k児P 20嵐繁
- 11. 11URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. WindowsでもiOSアプリ_k
- 12. 12URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ハイブリッドアプリケ`ション
- 13. 13URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ハイブリッドアプリ Web室gでネイティブアプリを_kするためのフレ`ムワ`ク ‐蒙罱 ?プッシュ宥岑 ?オフライン ?デバイスAPI、ネイティブAPIへのアクセス ?アプリストアでの咫▲好肇n署
- 14. 14URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. HTML5ネイティブ ネイティブコ`ド HTML コンテンツ アプリ云悶はHTML5でg廾 ネイティブアプリ侘塀で塘下 ハ`ドウェアC嬬を旋喘辛嬬 プラグインでネイティブC嬬を
- 15. 15URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Cross Platformツ`ルのシェア 61% 35% 31% 18% 15% 13% 12% 9% 4% 3% 0% 10% 20% 30% 40% 50% 60% 70% PhoneGap/Cordova Xamarin Unity Qt Adobe Air Appcelerator Corona Marmelade Codename One Live Code Using this tool Prioritize this tool Vision Mobile Analysis of Cross-Platform Development, July 2015
- 16. 16URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. I順覆離侫讒`ムワ`ク
- 17. 17URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Cordovaフレ`ムワ`クiOS/Android コ ` ル バ ッ ク HTML5 CSS JavaScript WebView ネ イ テ ィ ブ ロ ジ ッ ク アプリケ`ションパッケ`ジ ネ イ テ ィ ブ A P I Android iOS
- 18. 18URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Cordovaフレ`ムワ`クWindows HTML5 CSS JavaScript Chakra + EdgeHTML アプリケ`ションパッケ`ジ ラ ン タ イ ム A P I Windows ランタイム (WinRT)
- 19. 19URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ハイブリッドアプリのセキュリティ
- 20. 20URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. '2016 OWASP Mobile Top 10 Improper Platform Usage OSC嬬やセキュリティの碧Mみの`喘。Androidインテントやパ`ミッションのg`い、Keychainの `喘など。 Insecure Data Storage 芦畠でないデ`タI囃の聞喘や吭蹐靴覆ぅ禰`タ息など。 Insecure Communication ハンドシェイクのg`いや硬いSSLバ`ジョンの聞喘、圧催晒されていない宥佚など。 Insecure Authentication J^I尖の音笋筌札奪轡腑鷙楡蹐}など。 Insufficient Cryptography 隠oされるべきデ`タにして、音頼畠な圧催を聞喘。 Insecure Authorization J辛I尖の音筺クライアントサイドでのJ辛I尖や、崙ブラウジングなど。 Client Code Quality コ`ドレベルのg廾}。バッファオ`バ`フロ`や猟忖双I尖のg`いなど。 Code Tampering バイナリファイルの個ざんやリソ`スファイルの筝、啜弔淵瓮皀蠅慮弔兇鵑覆鼻 Reverse Engineering バイナリファイルからのソ`スコ`ド痌、聞喘ライブラリやアルゴリズムの渇竃など。 Extraneous Functionality Lしバックドアの贋壓や、リリ`スアプリに根まれてはいけないコメントの詞秘など。
- 21. 21URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ハイブリッドアプリのセキュリティ卍 ネットワ`ク宥佚 WebViewから┘擧`ジのiみzみ、XHRでのAjax ネイティブからAndroid/iOS WebView ブラウザエンジンの巌樋來 Cordova云悶 Cordovaの巌樋來 プラグイン プラグインの巌樋來 リバ`スエンジニアリング ロジックの息やコ`ドの個ざん ソ`スコ`ド ソ`スコ`ドの巌樋來 Cordova アプリケ`ションパッケ`ジ ネイティブ冱Z によるg廾 JavaScriptによるg廾 WebView ブラウザエン ジンの巌樋來 ネットワ`ク 宥佚 リバ`スエン ジニアリング プラグイン g廾 プラグイン
- 22. 22URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Same-Origin Policy Cordovaが糞弔吠荒辰垢iOSのUIWebViewやAndroidのWebViewはfile://プロ トコルがOriginとなっておりSame-Origin Policyはm喘されない。よっ て、Content-Security Policyの峺協が駅勣となる。 ただし、iOS 9 + Cordova iOS 4.0から旋喘できる仝WKWebView々を喘いる 栽、WebViewの音醤栽からSame-Origin Policyがm喘されるため、サ` バ`箸CORSヘッダ`を原嚥する駅勣がある。 ネットワ`ク宥佚にするセキュリティモデル
- 23. 23URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Access OriginとAllow Navigation Access Origin O協ファイル(config.xmlにて峰する。兜豚バ`ジョンより贋壓。 デフォルトは * ┐垢戮瀞S辛なので廣吭が駅勣。<video>タグやWebSocket吉は崙泙気譴覆い Security Policyの旋喘が容Xされる。 Allow Navigation Cordova iOS/Android 4.0參貧に秘されたセキュリティモデル。Androidはcordova-plugin-whitelist フォルトでMみzみg。WebViewでw卞辛嬬なペ`ジを崙泙垢襦 デフォルトはfile://から_兵される╋膨坪に贋壓するURLにナビゲ`ションをS辛する。 <access origin="http://example.com" /> <access origin="*" /> <allow-navigation href="http://example.com/*" /> ネットワ`ク宥佚にするセキュリティモデル
- 24. 24URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Content Security Policy HTML坪に<meta>タグを喘いて峰する。KitKatAndroid 4.4參週、およびiOS 7參週で鬄 <meta http-equiv="Content-Security-Policy" content="default-src 'self' data: gap: https://ssl.gstatic.com; style-src 'self' 'unsafe- inline'; media-src *"> ? gap://プロトコルiOSのUIWebViewおよびhttps://ssl.gstatic.comAndroidで駅勣をS辛。 ? eval()v方やインラインスクリプトを鋤峭。 <meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline' 'unsafe-eval'"> ? CSSとJavaScriptは揖じオリジンのものをS辛。 ? eval()v方とインラインスクリプトもS辛。 ネットワ`ク宥佚にするセキュリティモデル
- 25. 25URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. iOS Application Transport Security (ATS) iOSの隔つセキュリティ児覆如iOS 11より駅に。ATSが嗤燭栽HTTP宥佚はS辛されず、TLS 1.2參貧が駅。 Cordovaでは<access>勣殆もしくは<allow-navigation>勣殆を峺協すると、ATSO協を峰するInfo.plistファイルが貧 きされ、O協がm喘される。 和のように<access>勣殆がされた。 <access origin='*' allows-arbitrary-loads-in-media='true' allows-arbitrary-loads-in-web-content='true' allows-local- networking='true' /> allows-arbitrary-loads-in-media ? trueの栽、AV Foundation FrameworkU喇でiみzむメディアにして俊A崙泙盾茅される。 allows-arbitrary-loads-in-web-content ? trueの栽、WebViewから佩われるリクエストにして俊A崙泙盾茅される。 allows-local-networking ? trueの栽、ロ`カルネットワ`クにあるリソ`スにして俊A崙泙盾茅される。 ネットワ`ク宥佚にするセキュリティモデル
- 26. 26URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. WebViewの巌樋來
- 27. 27URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ブラウザ巌樋來 Android https://developer.android.com/about/dashboards/ バ`ジョン ブラウザ 弊順シェア 4.3參念 WebKit 6% 4.4 (KitKat) Blink (Chrome) 10% 5.0參週 Evergreen Chrome 84% Android 5參週は械に恷仟のChromeエンジン に厚仟されるため、CN卆贋はk伏しない iOS 2018定1埖18晩F壓 https://developer.apple.com/support/app-store/ OSが械に徭啗仟を佩うことから、ユ`ザ` は械に恷仟2弊旗のOSを聞いAけるA鬚砲△襦 バ`ジョン卆贋はk伏しづらい彜rにある。 2018定4埖16晩
- 28. 28URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Cordova/プラグインの巌樋來
- 29. 29URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Cordovaにvする巌樋來の鷂 CVE-2015-5208 Apache Cordova iOS before 4.0.0 allows remote attackers to execute arbitrary plugins via a link. CVE-2015-5207 Apache Cordova iOS before 4.0.0 might allow attackers to bypass a URL whitelist protection mechanism in an app and load arbitrary resources by leveraging unspecified methods. CVE-2015-5204 CRLF injection vulnerability in the Apache Cordova File Transfer Plugin (cordova-plugin-file-transfer) for Android before 1.3.0 allows remote attackers to inject arbitrary headers via CRLF sequences in the filename of an uploaded file. CVE-2015-8320 Apache Cordova-Android before 3.7.0 improperly generates random values for BridgeSecret data, which makes it easier for attackers to conduct bridge hijacking attacks by predicting a value. CVE-2015-5256 Apache Cordova-Android before 4.1.0, when an application relies on a remote server, improperly implements a JavaScript whitelist protection mechanism, which allows attackers to bypass intended access restrictions via a crafted URI. Cordova/プラグインの巌樋來
- 30. 30URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. Google Play Storeでの 巌樋來のあるCordovaが喘いられている栽、Google Play Storeにて巷_唯峭が佩わ れる。 Google Play Storeでのh苧並 https://support.google.com/faqs/answer/6325474?hl=ja F壓はCordova Android 4.1.1參念で恬られ たパッケ`ジはアップロ`ド音辛。 Cordovaの巌樋來がk伏すると書瘁も が駅勣になる。メンテナンス悶崙を屁えて おく駅勣がある。 Cordova/プラグインの巌樋來
- 31. 31URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. リバ`スエンジニアリング ハイブリッドアプリのアセットファイルHTML/JavaScript吉はネイティブコ`ドにコンパイル されず、ソ`スコ`ドの彜Bで極挑坪に鯉{される。o喘な峰を茅するため、コメント の茅やyi晒恷m晒をg仏することが李ましい。 よりMんだ貨としては、ビルドrに圧催晒を佩いg佩rに畡鼎垢襦▲稀`ドパ`ティuの 圧催晒プラグインを聞喘する。畡鼎吠垢Ε`は、リモ`トサ`バ`吉の芦畠な侭から函 り竃す駅勣がある。 Monaca Enterpriseでは アセットを圧催晒できる https://ja.monaca.io/enterprise.html Cordova/プラグインの巌樋來
- 32. 32URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. 音勣なプラグインの茅肇 Cordova鬚吋▲廛螢謄鵐廛讒`トの謹くが、Cordova Core Pluginsと柵ばれる児云プラグインをすべて揖 yしている。gHには聞喘していないコ`ドが根まれてしまい、巌樋來の梁寛になる辛嬬來 がある。 Mohamed Shehab et. al, Reducing Attack Surface on Cordova-Based Hybrid Mobile Apps, MobileDeLi 2014 PhoneGapのWebサイトにdされていた622 周のアプリにしての{烹2014定では、 プラグインのMみzみとgHの旋喘に寄きな _きがられている。 Cordova/プラグインの巌樋來
- 33. 33URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. セキュアコ`ディング
- 34. 34URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. コ`デイングの峺 Cordovaアプリの寄磯はSPA侏であり、モバイルWebサイトと曳べてもJavaScriptのウェイトが互 い。セキュアコ`ディング貨としてはHTML5鬚韻離廛薀ティスをm喘できる。 ? ユ`ザ`秘薦デ`タのバリデ`ション ? m俳なエスケ`プI尖 ? JavaScriptインジェクションの指閲 ? APIキ`のm俳な砿尖 セキュアコ`ディング
- 35. 35URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. エスケ`プI尖 コンテキストに鬉犬織┘好羽`プI尖が駅勣であるが、m俳な峰を佩うのは是y。 SPAフレ`ムワ`クやテンプレ`トエンジンの駻辰李ましい。 <div onmouseover="${data1}">${data2}</div> <a href="${data3}">link</a> <iframe srcdoc="${data4}"></iframe> 和の箭ではすべての篳にeのエスケ`プI尖が駅勣 バインディングをサポ`トするフレ`ムワ`ク やライブラリ 2-Way Bindingを隔つもの ? Angular 1 ? Angular 2 1-Way Bindingを隔つもの ? React テンプレ`トエンジン ? Handlebars ? Mustache エスケ`プI尖を徭念でg廾するのは是yであるた め、フレ`ムワ`クを駻辰垢襪海箸李ましい。 セキュアコ`ディング
- 36. 36URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. まとめ
- 37. 37URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ハイブリッドアプリのセキュリティ卍 ネットワ`ク宥佚 WebViewから┘擧`ジのiみzみ、XHRでのAjax ネイティブからAndroid/iOS WebView ブラウザエンジンの巌樋來 Cordova云悶 Cordovaの巌樋來 プラグイン プラグインの巌樋來 リバ`スエンジニアリング ロジックの息やコ`ドの個ざん ソ`スコ`ド ソ`スコ`ドの巌樋來 Cordova アプリケ`ションパッケ`ジ ネイティブ冱Z によるg廾 JavaScriptによるg廾 WebView ブラウザエン ジンの巌樋來 ネットワ`ク 宥佚 リバ`スエン ジニアリング プラグイン g廾 プラグイン
- 38. 38URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. 巌樋來とその貨 巌樋來 ? OS、WebView ★ OSのアップデ`ト ? Cordovaの巌樋來 ★ Cordovaのアップデ`ト ? プラグインの巌樋來 ★ 恷仟のプラグインの旋喘 ? アプリケ`ションの巌樋來 ★ セキュアコ`ディング 貨 ? 芦畠なネットワ`ク宥佚SSLの旋喘 ? OSの隔つセキュアなI囃の聞喘 ? ソ`スコ`ドの圧催晒
- 39. 39URL : http://ja.monaca.io/ Copyright ? Asial Corporation. All Right Reserved. ありがとうございました い栽わせ枠 アシアル幄塀氏芙 弥嶄屎圍 masahiro@asial.co.jp