Cordova ハイブリッドアプリケーションにおけるプラグインに着目したリパッケージング攻撃の防御手法

摘要

HTML5 ハイブリッドアプリケーション(以下，ハイブリッドアプリ)は，Web 技術で開発の大半を行うモバイルアプリケーションである．利点として開発コストが低いことが挙げられる反面，脆弱性の問題が指摘されている．通常のモバイルアプリケーションとは異なり，コンパイル時にソースコードが変換されずにアプリ内に保存されるため，アプリ内のソースコードの改ざhが容易である． 特にフレームワークApacheCordova(以下，Cordova)を利用して開発したハイブリッドアプリ(以下，Cordova アプリ)の場合，プラグインを不正利用するコードを注入することにより，端末に保存されている連絡先などの情報の漏洩が懸念される．また，Android アプリの場合は，サードパーティマーケットでの再配布が容易なため，悪意のあるコードを注入した上でアプリの再配布を行う，リパッケージング攻撃に対して脆弱である．本稿では，データフロー解析を利用し，Cordova アプリにおいて，プラグインの不正利用による機密情報の漏洩を目的とした，リパッケージング攻撃の防御手法を提案する．対象OS は，Android とする．