DeNAtechcon_DeNAのセキュリティの取り組みと、スマートフォンセキュリティ（same-origin policy）

4. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 自己紹介 –最近書いたセキュリティ記事  2014.04.15 ⁃ 巷を賑わすHeartbleedの脆弱性とは？！ • http://developers.mobage.jp/blog/2014/4/15/heartbleed  2014.07.03 ⁃ 不正なJSONデータによるSQL Injectionへの対策について (Json.pm+SQLクエリビルダー) • http://developers.mobage.jp/blog/2014/7/3/jsonsql-injection  2014.10.23 ⁃ SSL v3.0の脆弱性「POODLE」ってかわいい名前だけど何？？ - Padding Oracle On Downgraded Legacy Encryptionの仕組み – • http://developers.mobage.jp/blog/poodle  2015.06.15 ⁃ 脆弱性ってどういうものなの？ - AFNetworkingにおけるSSL証明書検証不備の脆弱性 – • http://developers.mobage.jp/blog/2015/afnetworkingssl

5. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 自己紹介 - 最近公開された脆弱性報告  2015/06/25 ⁃ namshi/jose におけるトークンの署名検証回避の脆弱性 (CVE-2015-2964) • https://jvn.jp/jp/JVN25336719/  2015/06/03 ⁃ F21 製 JWT におけるトークンの署名検証回避の脆弱性 (CVE-2015-2951) • http://jvn.jp/jp/JVN06120222/  2015/05/27 ⁃ Apache Sling の Sling API コンポーネントおよび Servlets Post コンポーネントにおけるクロスサイトスクリプティングの脆弱性 (CVE-2015-2944) • http://jvn.jp/jp/JVN61328139/  2014/12/9 ⁃ Security updates available for Adobe Flash Player - circumvent the same-origin policy (CVE-2014-0580). • https://helpx.adobe.com/security/products/flash-player/apsb14-27.html  2014/09/25 ⁃ iOS 版 jigbrowser+ における同一生成元ポリシー回避の脆弱性 (CVE-2014- 5318) • http://jvn.jp/jp/JVN80531230/index.html

8. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. ゲームにおけるチート、不正行為 - チートとは -  チートとは…… チート（cheat）とは、広義にはコンピュータゲームにおいて本来とは異なる動作をさせる行為である。…(略)… 日本では狭義に、オンラインゲームにおいてゲームを優位に進めるため、制作者の意図しない動作をさせる不正行為を指す。チートを行うプレイヤーのことをチーター（cheater）と呼ぶ。 Wikipedia(https://ja.wikipedia.org/wiki/チート)よりチートに該当するかや、不正行為となるかは、ゲームの仕様に深く関わってくる 8

11. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. ゲームにおけるチート、不正行為 - 一般の脆弱性との違い -  チートの代表例 ⁃ アイテム・通貨増殖、複製(Dupe) ⁃ レアアイテム入手 ⁃ 能力強化 ⁃ 敵弱体化 ⁃ 未開放ステージ開放 ⁃ 時間、位置制約の回避 ⁃ 他ユーザの妨害 ⁃ ツールによる自動化・高速化(bot) ゲーム上の制約の回避嫌がらせ、条件の有利化プレイ条件を有利化 → ユーザのプレイ時間、操作速度の物理的制約の回避 11

15. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 攻撃されうるポイント - 不正な通信（リクエスト） -  クライアントでの処理結果の改ざん ⁃ クライアントで生成した結果（バトル、パズルゲームの結果など）の改ざん ⁃ 通常入力し得ない範囲の値 • マイナス値 • 小数 • 指定可能範囲外の数値など  再送  同時複数リクエスト送信  サーバへのアクセスの自動化（いわゆるBOT）  なりすまし 15

17. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 攻撃されうるポイント -通信改ざん（レスポンス）-  ゲーム内で利用するためにサーバから読み込むデータの改ざん ⁃ プレイヤーの能力値の不正強化 ⁃ 敵の能力値の弱体化 ⁃ パズルゲームの難易度の容易化 • 初期配置 • 確率変更 • 補助アイテム増加 • クリア条件変更など ⁃ ゲームの進行状況、各種フラグの変更 ⁃ プレイヤーの現在位置の変更 17

25. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Same-Origin Policyとは  Same-Origin Policyとは、スキーム、ホスト、ポートの組み合わせが同じリソースの範囲にリソースの利用を制限する仕組みで、重要なコンテンツを保護するために必須となるセキュリティ上の仕組みです。 25 http://www.example.com/ XHR等 http://www.example.com/ JavaScript リソースの読み込み読み込みOK！ XHR等 http://dena.com/ リソースの読み込み

26. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Same-Origin Policyの範囲  http://www.example.com/test/test.htmlとSame Originなのは？ 26 URL Same? http://dena.com/test/test.html http://www.example.com:8080/test/test.html http://abc.example.com/test/test.html https://www.example.com/test/test.html http://www.example.com/aaaa/test.html

27. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Same-Origin PolicyとCross-Site Scripting(XSS)  もし、異なるOriginのWebページ上で、JavaScriptが実行できたら… 27 http://www.example.com/ http://www.example.com/ JavaScript http://dena.com/ Scriptの埋め込み

28. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Same-Origin PolicyとCross-Site Scripting(XSS)  Same-Origin Policyが正しく動作している例 28 Uncaught DOMException: Blocked a frame with origin "http://attack.example.com" from accessing a cross-origin frame.

29. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Same-Origin PolicyとCross-Site Scripting(XSS)  XSSの仕方色々 ⁃ <script>alert('xss')</script> ⁃ <img src=x onerror="alert('xss')"> ⁃ +ADw-script+AD4-alert('xss')+ADw-/script+AD4- 29

33. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 302 Foundの画面とXSS Chrome IE Firefox Opera(Presto) 通常 × × × × 空 ○ × ○ ○ data:text/html…. △ × △ ○ javascript:xxx × × × ◎ 33 XSS動きます！古いブラウザだけど……  Locationヘッダ（302 Found）の扱いの違いとXSS

36. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 302 FoundでXSSが動作する組み合わせ  WEBRick 36 HTTP/1.1 302 Found X-Frame-Options: SAMEORIGIN X-Xss-Protection: 1; mode=block X-Content-Type-Options: nosniff Location: javascript:alert(0) Content-Type: text/html; charset=utf-8 Cache-Control: no-cache X-Request-Id: bb768842-983e-4ef8-b0e7-795193db1a96 X-Runtime: 0.007491 Server: WEBrick/1.3.1 (Ruby/2.1.2/2014-05-08) Date: Sun, 06 Jul 2014 12:00:51 GMT Content-Length: 89 Connection: Keep-Alive <html><body>You are being <a href="javascript:alert('xss')">redirected</a>.</body></html> 何故かOpera(Presto)では表示されない！（最後に改行入れるといける） <a href="javascript:alert('xss')">

40. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Android(WebView)の場合 – 何が危ないのか？  Same Origin Policyが効かない範囲がある 40 ⁃ 特定の条件(「file://」で開かれたページ等)でSame Origin Policyの制約がなくなる場合がある ※ブラウザによって挙動はまちまち事が多い ⁃ エラーページは「file://」と同等、または、一般のページより高い権限が設定されている場合がある

41. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Android(WebView)の場合 – 「file://」に関する制約例  「file://」に関する制約例 ⁃ 通常のWebページからは呼び出せない • 例：http://www.example.com上にiframeで埋め込めない ⁃ 通常のWebページからは遷移ができない • 例：aタグで指定しても遷移ができない • 例：Locationヘッダで遷移ができない ⇒ 何らかの方法で「file://xxx」を開く事ができれば、Same Origin Policyの回避まで後一歩！ 41※ブラウザやレンダリングエンジンによって結構違います

42. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Android(WebView)の場合 – Location:javascript:xxxが有効なケース  影響を受けるバージョン ⁃ Android OS 4.0 (API 14) 以降 4.4(API 19) 未満  再現条件 WebViewを使っているアプリで ⁃ 下記設定が true になっている • setAllowFileAccessFromFileURLs • setAllowUniversalAccessFromFileU RLs または ⁃ AndroidManifest.xml の android:targetSdkVersion が 15 以下になっている 42 ※端末によってはエラー画面がカスタマイズされていて動作しません。

44. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Android(WebView)の場合 – 詳細なSame Origin Policyの回避手順 1. 任意のページでCookieに”<script>xxxx…</script>”のような攻撃コードをセットする 44 2. 「Location: javascript:xxxx」でリダイレクトするページへアクセスする 4. JavaScriptでiframeを作り「file:///data/.../webViewCookiesChromium.db」を開く ⁃ エラーページは、「file://」を呼び出せるが、「file://」で呼び出したコンテンツの中身は読めない 5. 手順1でセットしたスクリプトが発動する！ 6. 「file:///data/.../webViewCookiesChromium.db」は「file://」で開かれているため、Same Origin Policyの例外になり、任意のローカルファイル、Webページのコンテンツを読み込める 3. エラー画面上のリンクをユーザがクリックする

45. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. Android(WebView)の場合 – WebViewはNativeアプリの脅威か？  WebViewをメインで使っていないアプリでも以下のような場所で使っているケースが多くある ⁃ おしらせ ⁃ 利用規約 ⁃ ヘルプ ⁃ お問い合わせなどのWebと相性が良い機能 45 WebViewを利用していない箇所の重要情報が漏洩する可能性！ WebView経由でアプリ内の任意のファイルが読み込める

49. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. iOS(WebView)の場合 – 動作ドメイン確認のSampleコード抜粋 49 func webView(webView: UIWebView, shouldStartLoadWithRequest request: NSURLRequest, navigationType: UIWebViewNavigationType) -> Bool { let urlStr = request.URL?.absoluteString; print("--------------------------------------"); print("CurrentDomain:" + webView.stringByEvaluatingJavaScriptFromString("document. domain")!); print("NextURL:" + urlStr!); if((urlStr?.hasPrefix("javascript:")) != nil) { webView.stringByEvaluatingJavaScriptFromString(urlStr!); } return true } }

50. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. iOS(WebView)の場合 -リダイレクト中のドメインの扱い 1. 「https://www.example.com/」へアクセス（起動直後） ⁃ document.domain: 空 2. 1の読み込みが完了 ⁃ document.domain: www.example.com 3. 「http://192.168.56.104/」へアクセス開始 ⁃ document.domain: www.example.com 4. Locationヘッダで「javascript:alert(1)」へリダイレクト ⁃ document.domain: www.example.com 5. Locationヘッダをコード上でJavaScriptとして実行 ⁃ document.domain: www.example.com 50

DeNAtechcon_DeNAのセキュリティの取り組みと、スマートフォンセキュリティ（same-origin policy）

Toshiharu Sugiyama

DeNAtechcon_DeNAのセキュリティの取り組みと、スマートフォンセキュリティ（same-origin policy）

A particular slide catching your eye?