徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員 脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

モバイルアプリにおける個人情報(に準ずるようなデータ)のログ取得に関する質問です。

たとえば、モバイルアプリ(iOSネイティブなど)で、ユーザの使用ログを取り、事前に想定したモデルと比較することによってユーザビリティ評価を行うケースが想定されると思います。

その場合、UUID のような端末固有情報に加え、時系列に応じた操作ログを任意のサーバに送ることに対する方法について、どのようなスタンスで行えばよいのでしょうか。

どのような情報を取得したのかという内容は一切含ませず、画面の遷移はどのように行われたのか、どのボタンがどのように操作されたのかという情報を取得することが目的です。

単なる操作ログであれば、Webサーバにおけるアクセスログに比べて個人を特定できるような情報は少ないと思いますが、その一方国産ブラウザで炎上した Smooz のような事例(あれば問題があると思いますが)や、iOS AppStore における審査の厳格化と、ストアにおける取得情報の表示義務化を考えると、ログを取得することに対しても及び腰になってしまいます。

たとえば、単なる起動回数の記録として UUID を送る場合であっても、最新の審査では個人を特定する情報とは結びつかない、匿名としての情報送信であるというチェックを入れなければ審査に出すことができません。

この話題は、いわゆるセキュリティの話とは異なってくるかもしれませんが、利用者視点からすると個人情報(個人情報の定義は置いておいて)が漏れていると思わせる結果となり、ひいてはアプリの信頼性を落とす危険性も持ち合わせていることを考えると、ユーザレベルではセキュリティに関する話題と捉えられる可能性もあるかと思っています。

話題的には先生と契約してご相談すべき内容かもしれませんが、趣味レベルの個人開発における内容なので、可能な範囲でご意見、あるいは参照先をご提案いただければと思います(もちろん、些少ながら投げ銭機能でご回答に対して課金することは考えています)。

2021/01/10 16:42

重たい話題ですが、簡単に言えば、「ストアにおける取得情報の表示義務化を考えると、ログを取得することに対しても及び腰になってしまいます」というスタンスがよくなく、透明性が一番大切なキーワードです。

ギフトサポートする

徳丸 浩

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿
お疲れ様です。

現在、私はjavascript勉強中です。

javasciptにはes5やes6などのverがあると聞いて、以下のようなことを疑問に思っています。
・pythonやphpのように端末上に環境を構築しないのにverがあるのか
・互換性はあるのだろうか。
・verによって脆弱性が発生するのだろうか

もしお答えいただけたら幸いです。
はじめまして。徳丸先生の影響でWebアプリケーション脆弱性診断士を志す情報学部の3年生です。
就活を始めたのですが、新卒の脆弱性診断士の募集はあまり見かけません。まずはWeb系企業やセキュリティベンダーに入社してキャリアを積むのが一般的なのでしょうか?診断士になるために、徳丸先生なら新卒でどのような道を選択されますか?
突然の質問失礼します。

HTMLエンコードの処理のタイミングはいつですか?
Burpでシングルクオーテーションを送信すると、データベースでHTMLエンコードされた文字列が処理されています。
サーバー側のphpでHTMLエンコードの処理はプログラムされていないため、なぜなのか原因がわかりません。 

あるCMSでSQLIを見つけたのですが、HTMLエンコードされてたので、これは脆弱性なしの判断でいいのかな?と思った次第です。
セキュリティに関する専門家が少ないと言われていますが、セキュリティにもハードに関するセキュリティからソフトウェア、通信などの技術面、ISOなどのマネジメント、法律などいろいろな階層があると思います。専門家から見て、どの階層が不足しているとか、ありますか?
それなりに大きいECサイトで会員登録しようとしたところ「パスワードは12文字以内で入力してください」と指定されてしまったのですが、あえて12文字制限を掛ける理由って何かあるのでしょうか?