スマートフォンアプリケーションでSSLを使わないのは脆弱性か

このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました（2月8日追記。講演者からの依頼によりセミナーのサイトへのリンクをもうけました）。この際に、スマートフォンアプリケーションの脅威に対する共通認識がまだないという課題を改めて感じました。その課題を痛感できたという点で、セミナーは私にとっては有益でした。 このため、当ブログではスマートフォンアプリケーションの話題をあまり取り上げていませんでしたが、今後は、とりあげようと思います。まずは、スマートフォンアプリケーションでは暗号化を必須とするべきかという話題です。この話題は、前記セミナーでもとりあげられていました。 暗号化の目的は何か まず、暗号化の必要性を論じるためには、暗号化の目的を明確にする必要があります。前記セミ

[kazoo_oo]

「通信内容を隠してしまえば攻撃もできなくなるだろうという発想は危険です。」

[kazuhooku]

POSTに限定するのが現実的な気も > 「告知せず平文通信している場合は、アプリケーションの脆弱性とみなす」

[anatanimo]

“徳丸浩”

[castaneai]

"安全サイドに倒すならば、「平文通信の場合は常に告知せよ、そうでなければ脆弱性」というガイドラインがよいことになります。"

[hinaloe]

5年前なんか

[ghostbass]

これが5年前。いまだに「getだとURLにパラメータが見えてしまうからPOSTで」とか言ってくれる人がいる。

[begirama]

SSLについて

[pmakino]

[セキュリティ[SSL]遅延が良くない3G回線でSSL利用を求めるのはいかがなものか…と一瞬思ったけど、逆に読めば告知さえすれば平文でも問題ないのか。しかしいちいち告知では鬱陶しいので結局SSLに逃げることになりそう。

[golden_eggg]

"スマートフォンアプリケーションの場合は、アプリケーションがHTTP平文通信しているのか、HTTPSの暗号化通信を利用しているのかは、一般利用者には分かりません"からの論

[raitu]

「スマートフォンアプリケーションの場合、暗号鍵を隠すことが困難」「アプリケーションのリバースエンジニアリングが可能」

[t-murachi]

2/8 追記あり。なんにせよ、スマートフォンアプリは SSL 使うべき、っちう事だ罠。

[Kshi_Kshi]

あとで読む

[Qwerty401]

スマホアプリの場合、信頼性の低い公衆無線LANの利用も想定されるが、SSL通信しているかどうか利用者には分からない。「平文通信の場合は常に告知せよ、そうでなければ脆弱性」

[flatbird]

アプリケーションの場合SSL通信しているかどうか利用者には分からないため、通信路をSSL暗号化していない場合にはその旨を告知する/告知せず平文通信している場合は、アプリケーションの脆弱性とみなすことを提案

[deep_one]

「アプリケーションがHTTP平文通信しているのか、HTTPSの暗号化通信を利用しているのかは、一般利用者には分かりません。」確かに。

[kaito834]

「(1)通信内容の暗号化」と「(2)その通信を発信するアプリの暗号化（処理）」の2つが同列に書かれている印象。話の中心は(2)が解析されることをどう考えるかで、結論部で(1)の話に戻っているように読んだ。

[tosebro]

素直にSSL使いましょうよ、というお話。やはりブラウザのように、使用有無が一目で分かるようになって欲しい。SSL通信中アプリを通知バーで…いや、大変なことになるな。

[kochizufan]

ほぼ同じ感覚だったが、専門家じゃなく見落としがないかと不安だったので、専門家の裏付けが取れて安心した。

[meets623]

徳丸浩の日記: スマートフォンアプリケーションでSSLを使わないのは脆弱性か

[m-kawato]

"アプリケーションの場合SSL通信しているかどうか利用者には分からないため、通信路をSSL暗号化していない場合にはその旨を告知することが望ましい"

[Nagise]

Wi-Fi部分でパケットキャプチャされる可能性があるだけスマホのほうが危ないか。確かに

[k146]

まだID/PASSを平文でやり取りさせるサービスあるけど、アプリレベルだとそれすら視認出来ない場合も多々あって辟易する時がある。

[hiro_y]

「アプリケーションの場合SSL通信しているかどうか利用者には分からないため、通信路をSSL暗号化していない場合にはその旨を告知することが望ましい」

[longroof]

徳丸浩の日記: スマートフォンアプリケーションでSSLを使わないのは脆弱性か

[odawara]

経路暗号化しましょうと言う話

[asuka0801]

読んでる

[netpoyo]

“告知せず平文通信している場合は、アプリケーションの脆弱性とみなすことを提案します”

[katzchang]

「告知せず平文通信している場合は、アプリケーションの脆弱性とみなすことを提案します」

[MinazukiBakera]

「告知せず平文通信している場合は、アプリケーションの脆弱性とみなすことを提案」