COVID-19のコンタクトトレーシング。安全なコーディングの状況は？
この記事の一部分は DevOps Digest.この記事は更新され、ここでシンジケートされています。
この時点で、私たちは皆、「この未曾有の時代に」という言葉に少し飽き飽きしていることでしょう。しかし、今は本当に未曾有の時代です。昨年末には、今年は世界的に破壊的なパンデミックの撲滅に向けて、可能な限りの努力をしていると誰が想像できたでしょうか。世界的な現実というよりは、Netflixの新しいSFシリーズのような、笑い話のような話だったでしょう。COVID-19は、政治的な優先順位は言うまでもなく、私たちの社会生活、経済、雇用の安定性を完全に変えてしまいました。
COVID-19に対する反撃の一つはテクノロジーで、多くの国が連絡先を追跡するアプリを導入しています。オーストラリアでは、シンガポールの「TraceTogether」をモデルにした「COVIDSafe」があります。また、香港、台湾、中国、韓国、イスラエル、ドイツでも、接触者追跡技術が導入されているか、導入が予定されています。英国は、ヨーロッパで最も被害が大きい地域で、ウイルスによる死亡者が数万人にのぼり、感染率も高い。彼らのアプリのリリースが間近に迫っています。同じく被害が大きく、多くの人々が悲劇的に命を落としている米国でも技術が導入されていますが、連絡先の追跡は州ごとに行われているため、状況は非常に複雑です。
中国や台湾のような国家統制の強い国を除いては、これらのアプリの使用は任意であり、市民が自らの意思で技術をダウンロードして使用することが求められています。また、導入率によっては、シンガポールの「TraceTogether」の導入率は25％で、本来の目的を達成することができませんでした。
連絡先を追跡するアプリのアイデアは確かなものです。この技術がうまく機能すれば、ホットスポットを迅速に発見し、総合的な検査を行うことができます。これは、伝染性ウイルスの蔓延に対抗するための重要な要素です。しかし、「政府」や「追跡」という言葉にはあまり魅力を感じませんし、このようなものをダウンロードすることが実際にどのような意味を持つのか、人々が慎重になるのは当然のことです。
では、ユーザーはどのような点に不安を感じているのでしょうか。ネット上のコメントを見ると、以下のような不安があるようです。
- 収集したデータを責任を持って使用するという政府への信頼感の欠如
- サイバー攻撃から個人情報がどの程度保護されるのかという不安感
- どのようなデータが実際に収集されているのか、どこに保存されているのか、そして誰と一緒にいるのかが明確でないこと
- そして、私たち開発者やマニアにとっては、アプリがどれだけしっかりと作られているか。
このような連絡先追跡アプリは、記録的な速さで展開しなければなりません。開発者、セキュリティ担当者、政府機関にとっては悪夢のような話です。
では、不信感は有効な反応なのでしょうか？そして、COVID-19の連絡先追跡アプリとエンドユーザーの安全性について、assessment 、何を優先的に考えるべきなのでしょうか？セキュリティの専門家としての私の直感は、もちろん、プログラムのサイバーセキュリティの要素、つまり、私たちが（善意で）インストールするように強制されているアプリのコードベースがどれだけ安全であるかを掘り下げたいと思います。
多くのアプリはお互いにコピーである（同じ問題を継承する）。
オーストラリアの COVIDSafe アプリは、シンガポールの TraceTogether ソフトウェアと同様、基本的にOpenTrace をベースにしています。しかし問題は、TraceTogetherには様々な問題が報告されていることと、導入率が低いことです。また、特にiOSにおいては、バッテリーの消耗が激しいなど、一般的な性能に関する不満もありました。COVIDSAFEのiOSバージョンには、すべてのデータを適切に記録するために、携帯電話のロックを解除し、アプリをフォアグラウンドで実行する必要があるという、UX上の潜在的な欠陥があります。
上記の問題は煩わしいものですが、より差し迫った懸念は、Bluetoothの脆弱性が蔓延しており、TraceTogetherもオーストラリアのCOVIDSafeもその影響を受けていないということです。5月14日、NISTは、COVIDSafeにサービス拒否の脆弱性があり、攻撃者がBluetoothハンドシェイクの距離にいる場合、遠隔操作でアプリをクラッシュさせることができると報告しました。これにより、組織的な攻撃を受けた場合、人口密度の高い地域でのコンタクトトレースを妨害することができます。この問題は、COVIDSafe、TraceTogether、ポーランドのProteGO、カナダのABTraceTogetherに影響することが知られており、これらはすべて、OpenTraceの欠陥のあるmanuData.subdata呼び出しから問題を継承しています。
Bluetooth機能には、他にもプライバシーやセキュリティの問題があります。この技術が、固有のID（TempID）によって人間の動きを追跡し、意味のあるデータを収集するために使用されているという事実は、弱点を探る攻撃者の関心が高まることを必然的に意味しており、何が収集されているのか、どこに保存されているのか、どのくらいの期間保存されているのかを正確に調べる必要があります。
すでにいくつかのアプリでは、単純なエラーが複雑な弱点を引き起こす兆候が見られます。
オーストラリアのソフトウェアエンジニアであるGeoffrey Huntley氏は、COVIDSafeのソースコードを研究してきましたが、悲しいことに、エンドユーザーである私たちには必ずしも強調されていない問題があります。
致命的な例としては、プライバシーを侵害するロジックエラーがあり、攻撃者がデバイスの長期的な追跡を行うことができてしまいます。これは、アプリ自体のプライバシーポリシーに反するだけでなく、脆弱なユーザーにとっても非常に大きなリスクとなります。
これらのロジックの脆弱性は、5月14日時点でパッチが適用されていますが、より緊急性の高い問題は、ハントリー氏が報告してから17日間、パッチが適用されずに放置されていたことです。ハントリー氏をはじめとする素晴らしいセキュリティコミュニティのメンバーは、COVIDSafeアプリに関連するCVEを追跡しています。
パッチ適用後にHuntley氏が指摘したのは、この修正にも「無能さ」が見られるということです。公開されたログによると、パッチは単に欠陥のあるキャッシュを削除するのではなく、ロジックを追加することで行われており、後者の方がはるかに強固な対処法であると述べています。どちらも機能しますが、生の解決策は繊細さに欠けます-このような重要なアプリケーションでは心配です。
せっかく真面目な社会人が自分の時間と専門知識を使ってソースコードを調べ、問題点を指摘してくれているのに、コードがオープンソースである場合に比べて、彼らの仕事は格段に難しくなっています。現状では、28個のアプリがセキュリティ研究者から閉ざされたままになっています。
セキュアコーディングは、ゴールで躓くことが多いです。
パンデミックの最中に人命救助のためのアプリを作らなければならないという非常に珍しい状況もあり、過労の開発者に同情することはできますが、基本的に共同体のコードベースにいくつかの単純な脆弱性があると、何百万人ものユーザーに重大な問題をもたらす可能性があることを強調しておく必要があります。
ほとんどの人は、善良な市民としてアプリをサポートし、この恐ろしいウイルスの発生を追跡して制御するための最良のチャンスを皆に与えたいと思っていると思います。私も、これを実現するための技術を支持していますが、多くの点で、今回の件は、世界中の開発者に内在する安全なコーディング原則の一般的な欠如を明らかにしました。
ソフトウェアを迅速に作成しなければならない状況では、ミスが発生することは決して想定外ではありません。しかし、論理的欠陥、設定ミス、コードインジェクションエラーなどの一般的なセキュリティ脆弱性は、ボランティアのホワイトハットがコードベースをバラバラにした後ではなく、コードを書いている段階で防ぐことができるものでなければなりません。
ところで、これは開発者のせいではありません。彼らは高等教育を終えた後、セキュアコーディングのスキルをほとんど身につけておらず、キャリアの中でのKPIはほとんどの場合、機能性と納品スピードに関連しており、セキュリティの部分は完成後に他の人が対処することになっています。私たちは、安全なコーディングを迅速に行うという最終状態に到達する必要があります。今は、これらのアプリケーションを構築する部門の文化を劇的に変化させる時ではありませんが、私たちのデジタルリスク領域が拡大しており、セキュリティのベストプラクティスに対する責任を共有するためのツールと知識を与えられれば、彼らは変化をもたらすことができる立場にあるということを、時宜を得て思い起こさせてくれます。
このアプリをダウンロードしても大丈夫ですか？
セキュリティの専門家である私にとっては、このアプリの利点は問題点を上回るという結論に達しました。このソフトウェアに上記のような脆弱性が存在することは理想的ではありませんが、これらが武器になった場合の影響は最悪のシナリオです。現時点では、連絡先の追跡は、世界中の医療関係者が感染の拡大を防ぎ、入院の流れを止め、お互いの安全を確保するための重要な要素となっています。
今回の発表は、ソフトウェアのビルド時にデフォルトでセキュリティのベストプラクティスを導入することに関しては、まだまだ道のりが 長いことを強調するものであり、一般の人々が十分な情報を得た上で意思決定を行うために必要な情報を提供することが重要です。
私たち家族は、今後もこの製品を使い続けますが、皆がすべきこととして、Androidのパッチを最新の状態に保つことには注意を払っています。
連絡先を追跡するアプリのアイデアは確かなものです。この技術がうまく機能すれば、ホットスポットを迅速に発見し、総合的な検査を行うことができます。これは、伝染性ウイルスの拡散に対抗するための重要な要素です。
最高経営責任者（CEO）、会長、および共同設立者
Secure Code Warrior は、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする企業文化を創造するために、お客様の組織を支援します。AppSec マネージャー、開発者、CISO、またはセキュリティに関わるすべての人が、安全でないコードに関連するリスクを減らすことができるよう、支援します。
デモを予約する
最高経営責任者（CEO）、会長、および共同設立者
Pieter Danhieuxは、セキュリティコンサルタントとして12年以上の経験を持ち、SANSの主席講師として8年間、組織、システム、個人をターゲットにしてセキュリティの弱点を評価する方法に関する攻撃的なテクニックを教えている、世界的に有名なセキュリティエキスパートです。2016年には、オーストラリアで最もクールな技術者の一人として認められ（Business Insider）、Cyber Security Professional of the Yearを受賞（AISA - Australian Information Security Association）、GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA認定を保有している。
この記事の一部分は DevOps Digest.この記事は更新され、ここでシンジケートされています。
この時点で、私たちは皆、「この未曾有の時代に」という言葉に少し飽き飽きしていることでしょう。しかし、今は本当に未曾有の時代です。昨年末には、今年は世界的に破壊的なパンデミックの撲滅に向けて、可能な限りの努力をしていると誰が想像できたでしょうか。世界的な現実というよりは、Netflixの新しいSFシリーズのような、笑い話のような話だったでしょう。COVID-19は、政治的な優先順位は言うまでもなく、私たちの社会生活、経済、雇用の安定性を完全に変えてしまいました。
COVID-19に対する反撃の一つはテクノロジーで、多くの国が連絡先を追跡するアプリを導入しています。オーストラリアでは、シンガポールの「TraceTogether」をモデルにした「COVIDSafe」があります。また、香港、台湾、中国、韓国、イスラエル、ドイツでも、接触者追跡技術が導入されているか、導入が予定されています。英国は、ヨーロッパで最も被害が大きい地域で、ウイルスによる死亡者が数万人にのぼり、感染率も高い。彼らのアプリのリリースが間近に迫っています。同じく被害が大きく、多くの人々が悲劇的に命を落としている米国でも技術が導入されていますが、連絡先の追跡は州ごとに行われているため、状況は非常に複雑です。
中国や台湾のような国家統制の強い国を除いては、これらのアプリの使用は任意であり、市民が自らの意思で技術をダウンロードして使用することが求められています。また、導入率によっては、シンガポールの「TraceTogether」の導入率は25％で、本来の目的を達成することができませんでした。
連絡先を追跡するアプリのアイデアは確かなものです。この技術がうまく機能すれば、ホットスポットを迅速に発見し、総合的な検査を行うことができます。これは、伝染性ウイルスの蔓延に対抗するための重要な要素です。しかし、「政府」や「追跡」という言葉にはあまり魅力を感じませんし、このようなものをダウンロードすることが実際にどのような意味を持つのか、人々が慎重になるのは当然のことです。
では、ユーザーはどのような点に不安を感じているのでしょうか。ネット上のコメントを見ると、以下のような不安があるようです。
- 収集したデータを責任を持って使用するという政府への信頼感の欠如
- サイバー攻撃から個人情報がどの程度保護されるのかという不安感
- どのようなデータが実際に収集されているのか、どこに保存されているのか、そして誰と一緒にいるのかが明確でないこと
- そして、私たち開発者やマニアにとっては、アプリがどれだけしっかりと作られているか。
このような連絡先追跡アプリは、記録的な速さで展開しなければなりません。開発者、セキュリティ担当者、政府機関にとっては悪夢のような話です。
では、不信感は有効な反応なのでしょうか？そして、COVID-19の連絡先追跡アプリとエンドユーザーの安全性について、assessment 、何を優先的に考えるべきなのでしょうか？セキュリティの専門家としての私の直感は、もちろん、プログラムのサイバーセキュリティの要素、つまり、私たちが（善意で）インストールするように強制されているアプリのコードベースがどれだけ安全であるかを掘り下げたいと思います。
多くのアプリはお互いにコピーである（同じ問題を継承する）。
オーストラリアの COVIDSafe アプリは、シンガポールの TraceTogether ソフトウェアと同様、基本的にOpenTrace をベースにしています。しかし問題は、TraceTogetherには様々な問題が報告されていることと、導入率が低いことです。また、特にiOSにおいては、バッテリーの消耗が激しいなど、一般的な性能に関する不満もありました。COVIDSAFEのiOSバージョンには、すべてのデータを適切に記録するために、携帯電話のロックを解除し、アプリをフォアグラウンドで実行する必要があるという、UX上の潜在的な欠陥があります。
上記の問題は煩わしいものですが、より差し迫った懸念は、Bluetoothの脆弱性が蔓延しており、TraceTogetherもオーストラリアのCOVIDSafeもその影響を受けていないということです。5月14日、NISTは、COVIDSafeにサービス拒否の脆弱性があり、攻撃者がBluetoothハンドシェイクの距離にいる場合、遠隔操作でアプリをクラッシュさせることができると報告しました。これにより、組織的な攻撃を受けた場合、人口密度の高い地域でのコンタクトトレースを妨害することができます。この問題は、COVIDSafe、TraceTogether、ポーランドのProteGO、カナダのABTraceTogetherに影響することが知られており、これらはすべて、OpenTraceの欠陥のあるmanuData.subdata呼び出しから問題を継承しています。
Bluetooth機能には、他にもプライバシーやセキュリティの問題があります。この技術が、固有のID（TempID）によって人間の動きを追跡し、意味のあるデータを収集するために使用されているという事実は、弱点を探る攻撃者の関心が高まることを必然的に意味しており、何が収集されているのか、どこに保存されているのか、どのくらいの期間保存されているのかを正確に調べる必要があります。
すでにいくつかのアプリでは、単純なエラーが複雑な弱点を引き起こす兆候が見られます。
オーストラリアのソフトウェアエンジニアであるGeoffrey Huntley氏は、COVIDSafeのソースコードを研究してきましたが、悲しいことに、エンドユーザーである私たちには必ずしも強調されていない問題があります。
致命的な例としては、プライバシーを侵害するロジックエラーがあり、攻撃者がデバイスの長期的な追跡を行うことができてしまいます。これは、アプリ自体のプライバシーポリシーに反するだけでなく、脆弱なユーザーにとっても非常に大きなリスクとなります。
これらのロジックの脆弱性は、5月14日時点でパッチが適用されていますが、より緊急性の高い問題は、ハントリー氏が報告してから17日間、パッチが適用されずに放置されていたことです。ハントリー氏をはじめとする素晴らしいセキュリティコミュニティのメンバーは、COVIDSafeアプリに関連するCVEを追跡しています。
パッチ適用後にHuntley氏が指摘したのは、この修正にも「無能さ」が見られるということです。公開されたログによると、パッチは単に欠陥のあるキャッシュを削除するのではなく、ロジックを追加することで行われており、後者の方がはるかに強固な対処法であると述べています。どちらも機能しますが、生の解決策は繊細さに欠けます-このような重要なアプリケーションでは心配です。
せっかく真面目な社会人が自分の時間と専門知識を使ってソースコードを調べ、問題点を指摘してくれているのに、コードがオープンソースである場合に比べて、彼らの仕事は格段に難しくなっています。現状では、28個のアプリがセキュリティ研究者から閉ざされたままになっています。
セキュアコーディングは、ゴールで躓くことが多いです。
パンデミックの最中に人命救助のためのアプリを作らなければならないという非常に珍しい状況もあり、過労の開発者に同情することはできますが、基本的に共同体のコードベースにいくつかの単純な脆弱性があると、何百万人ものユーザーに重大な問題をもたらす可能性があることを強調しておく必要があります。
ほとんどの人は、善良な市民としてアプリをサポートし、この恐ろしいウイルスの発生を追跡して制御するための最良のチャンスを皆に与えたいと思っていると思います。私も、これを実現するための技術を支持していますが、多くの点で、今回の件は、世界中の開発者に内在する安全なコーディング原則の一般的な欠如を明らかにしました。
ソフトウェアを迅速に作成しなければならない状況では、ミスが発生することは決して想定外ではありません。しかし、論理的欠陥、設定ミス、コードインジェクションエラーなどの一般的なセキュリティ脆弱性は、ボランティアのホワイトハットがコードベースをバラバラにした後ではなく、コードを書いている段階で防ぐことができるものでなければなりません。
ところで、これは開発者のせいではありません。彼らは高等教育を終えた後、セキュアコーディングのスキルをほとんど身につけておらず、キャリアの中でのKPIはほとんどの場合、機能性と納品スピードに関連しており、セキュリティの部分は完成後に他の人が対処することになっています。私たちは、安全なコーディングを迅速に行うという最終状態に到達する必要があります。今は、これらのアプリケーションを構築する部門の文化を劇的に変化させる時ではありませんが、私たちのデジタルリスク領域が拡大しており、セキュリティのベストプラクティスに対する責任を共有するためのツールと知識を与えられれば、彼らは変化をもたらすことができる立場にあるということを、時宜を得て思い起こさせてくれます。
このアプリをダウンロードしても大丈夫ですか？
セキュリティの専門家である私にとっては、このアプリの利点は問題点を上回るという結論に達しました。このソフトウェアに上記のような脆弱性が存在することは理想的ではありませんが、これらが武器になった場合の影響は最悪のシナリオです。現時点では、連絡先の追跡は、世界中の医療関係者が感染の拡大を防ぎ、入院の流れを止め、お互いの安全を確保するための重要な要素となっています。
今回の発表は、ソフトウェアのビルド時にデフォルトでセキュリティのベストプラクティスを導入することに関しては、まだまだ道のりが 長いことを強調するものであり、一般の人々が十分な情報を得た上で意思決定を行うために必要な情報を提供することが重要です。
私たち家族は、今後もこの製品を使い続けますが、皆がすべきこととして、Androidのパッチを最新の状態に保つことには注意を払っています。
この記事の一部分は DevOps Digest.この記事は更新され、ここでシンジケートされています。
この時点で、私たちは皆、「この未曾有の時代に」という言葉に少し飽き飽きしていることでしょう。しかし、今は本当に未曾有の時代です。昨年末には、今年は世界的に破壊的なパンデミックの撲滅に向けて、可能な限りの努力をしていると誰が想像できたでしょうか。世界的な現実というよりは、Netflixの新しいSFシリーズのような、笑い話のような話だったでしょう。COVID-19は、政治的な優先順位は言うまでもなく、私たちの社会生活、経済、雇用の安定性を完全に変えてしまいました。
COVID-19に対する反撃の一つはテクノロジーで、多くの国が連絡先を追跡するアプリを導入しています。オーストラリアでは、シンガポールの「TraceTogether」をモデルにした「COVIDSafe」があります。また、香港、台湾、中国、韓国、イスラエル、ドイツでも、接触者追跡技術が導入されているか、導入が予定されています。英国は、ヨーロッパで最も被害が大きい地域で、ウイルスによる死亡者が数万人にのぼり、感染率も高い。彼らのアプリのリリースが間近に迫っています。同じく被害が大きく、多くの人々が悲劇的に命を落としている米国でも技術が導入されていますが、連絡先の追跡は州ごとに行われているため、状況は非常に複雑です。
中国や台湾のような国家統制の強い国を除いては、これらのアプリの使用は任意であり、市民が自らの意思で技術をダウンロードして使用することが求められています。また、導入率によっては、シンガポールの「TraceTogether」の導入率は25％で、本来の目的を達成することができませんでした。
連絡先を追跡するアプリのアイデアは確かなものです。この技術がうまく機能すれば、ホットスポットを迅速に発見し、総合的な検査を行うことができます。これは、伝染性ウイルスの蔓延に対抗するための重要な要素です。しかし、「政府」や「追跡」という言葉にはあまり魅力を感じませんし、このようなものをダウンロードすることが実際にどのような意味を持つのか、人々が慎重になるのは当然のことです。
では、ユーザーはどのような点に不安を感じているのでしょうか。ネット上のコメントを見ると、以下のような不安があるようです。
- 収集したデータを責任を持って使用するという政府への信頼感の欠如
- サイバー攻撃から個人情報がどの程度保護されるのかという不安感
- どのようなデータが実際に収集されているのか、どこに保存されているのか、そして誰と一緒にいるのかが明確でないこと
- そして、私たち開発者やマニアにとっては、アプリがどれだけしっかりと作られているか。
このような連絡先追跡アプリは、記録的な速さで展開しなければなりません。開発者、セキュリティ担当者、政府機関にとっては悪夢のような話です。
では、不信感は有効な反応なのでしょうか？そして、COVID-19の連絡先追跡アプリとエンドユーザーの安全性について、assessment 、何を優先的に考えるべきなのでしょうか？セキュリティの専門家としての私の直感は、もちろん、プログラムのサイバーセキュリティの要素、つまり、私たちが（善意で）インストールするように強制されているアプリのコードベースがどれだけ安全であるかを掘り下げたいと思います。
多くのアプリはお互いにコピーである（同じ問題を継承する）。
オーストラリアの COVIDSafe アプリは、シンガポールの TraceTogether ソフトウェアと同様、基本的にOpenTrace をベースにしています。しかし問題は、TraceTogetherには様々な問題が報告されていることと、導入率が低いことです。また、特にiOSにおいては、バッテリーの消耗が激しいなど、一般的な性能に関する不満もありました。COVIDSAFEのiOSバージョンには、すべてのデータを適切に記録するために、携帯電話のロックを解除し、アプリをフォアグラウンドで実行する必要があるという、UX上の潜在的な欠陥があります。
上記の問題は煩わしいものですが、より差し迫った懸念は、Bluetoothの脆弱性が蔓延しており、TraceTogetherもオーストラリアのCOVIDSafeもその影響を受けていないということです。5月14日、NISTは、COVIDSafeにサービス拒否の脆弱性があり、攻撃者がBluetoothハンドシェイクの距離にいる場合、遠隔操作でアプリをクラッシュさせることができると報告しました。これにより、組織的な攻撃を受けた場合、人口密度の高い地域でのコンタクトトレースを妨害することができます。この問題は、COVIDSafe、TraceTogether、ポーランドのProteGO、カナダのABTraceTogetherに影響することが知られており、これらはすべて、OpenTraceの欠陥のあるmanuData.subdata呼び出しから問題を継承しています。
Bluetooth機能には、他にもプライバシーやセキュリティの問題があります。この技術が、固有のID（TempID）によって人間の動きを追跡し、意味のあるデータを収集するために使用されているという事実は、弱点を探る攻撃者の関心が高まることを必然的に意味しており、何が収集されているのか、どこに保存されているのか、どのくらいの期間保存されているのかを正確に調べる必要があります。
すでにいくつかのアプリでは、単純なエラーが複雑な弱点を引き起こす兆候が見られます。
オーストラリアのソフトウェアエンジニアであるGeoffrey Huntley氏は、COVIDSafeのソースコードを研究してきましたが、悲しいことに、エンドユーザーである私たちには必ずしも強調されていない問題があります。
致命的な例としては、プライバシーを侵害するロジックエラーがあり、攻撃者がデバイスの長期的な追跡を行うことができてしまいます。これは、アプリ自体のプライバシーポリシーに反するだけでなく、脆弱なユーザーにとっても非常に大きなリスクとなります。
これらのロジックの脆弱性は、5月14日時点でパッチが適用されていますが、より緊急性の高い問題は、ハントリー氏が報告してから17日間、パッチが適用されずに放置されていたことです。ハントリー氏をはじめとする素晴らしいセキュリティコミュニティのメンバーは、COVIDSafeアプリに関連するCVEを追跡しています。
パッチ適用後にHuntley氏が指摘したのは、この修正にも「無能さ」が見られるということです。公開されたログによると、パッチは単に欠陥のあるキャッシュを削除するのではなく、ロジックを追加することで行われており、後者の方がはるかに強固な対処法であると述べています。どちらも機能しますが、生の解決策は繊細さに欠けます-このような重要なアプリケーションでは心配です。
せっかく真面目な社会人が自分の時間と専門知識を使ってソースコードを調べ、問題点を指摘してくれているのに、コードがオープンソースである場合に比べて、彼らの仕事は格段に難しくなっています。現状では、28個のアプリがセキュリティ研究者から閉ざされたままになっています。
セキュアコーディングは、ゴールで躓くことが多いです。
パンデミックの最中に人命救助のためのアプリを作らなければならないという非常に珍しい状況もあり、過労の開発者に同情することはできますが、基本的に共同体のコードベースにいくつかの単純な脆弱性があると、何百万人ものユーザーに重大な問題をもたらす可能性があることを強調しておく必要があります。
ほとんどの人は、善良な市民としてアプリをサポートし、この恐ろしいウイルスの発生を追跡して制御するための最良のチャンスを皆に与えたいと思っていると思います。私も、これを実現するための技術を支持していますが、多くの点で、今回の件は、世界中の開発者に内在する安全なコーディング原則の一般的な欠如を明らかにしました。
ソフトウェアを迅速に作成しなければならない状況では、ミスが発生することは決して想定外ではありません。しかし、論理的欠陥、設定ミス、コードインジェクションエラーなどの一般的なセキュリティ脆弱性は、ボランティアのホワイトハットがコードベースをバラバラにした後ではなく、コードを書いている段階で防ぐことができるものでなければなりません。
ところで、これは開発者のせいではありません。彼らは高等教育を終えた後、セキュアコーディングのスキルをほとんど身につけておらず、キャリアの中でのKPIはほとんどの場合、機能性と納品スピードに関連しており、セキュリティの部分は完成後に他の人が対処することになっています。私たちは、安全なコーディングを迅速に行うという最終状態に到達する必要があります。今は、これらのアプリケーションを構築する部門の文化を劇的に変化させる時ではありませんが、私たちのデジタルリスク領域が拡大しており、セキュリティのベストプラクティスに対する責任を共有するためのツールと知識を与えられれば、彼らは変化をもたらすことができる立場にあるということを、時宜を得て思い起こさせてくれます。
このアプリをダウンロードしても大丈夫ですか？
セキュリティの専門家である私にとっては、このアプリの利点は問題点を上回るという結論に達しました。このソフトウェアに上記のような脆弱性が存在することは理想的ではありませんが、これらが武器になった場合の影響は最悪のシナリオです。現時点では、連絡先の追跡は、世界中の医療関係者が感染の拡大を防ぎ、入院の流れを止め、お互いの安全を確保するための重要な要素となっています。
今回の発表は、ソフトウェアのビルド時にデフォルトでセキュリティのベストプラクティスを導入することに関しては、まだまだ道のりが 長いことを強調するものであり、一般の人々が十分な情報を得た上で意思決定を行うために必要な情報を提供することが重要です。
私たち家族は、今後もこの製品を使い続けますが、皆がすべきこととして、Androidのパッチを最新の状態に保つことには注意を払っています。
以下のリンクをクリックし、この資料のPDFをダウンロードしてください。
Secure Code Warrior は、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする企業文化を創造するために、お客様の組織を支援します。AppSec マネージャー、開発者、CISO、またはセキュリティに関わるすべての人が、安全でないコードに関連するリスクを減らすことができるよう、支援します。
レポートを見るデモを予約する
最高経営責任者（CEO）、会長、および共同設立者
Pieter Danhieuxは、セキュリティコンサルタントとして12年以上の経験を持ち、SANSの主席講師として8年間、組織、システム、個人をターゲットにしてセキュリティの弱点を評価する方法に関する攻撃的なテクニックを教えている、世界的に有名なセキュリティエキスパートです。2016年には、オーストラリアで最もクールな技術者の一人として認められ（Business Insider）、Cyber Security Professional of the Yearを受賞（AISA - Australian Information Security Association）、GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA認定を保有している。
この記事の一部分は DevOps Digest.この記事は更新され、ここでシンジケートされています。
この時点で、私たちは皆、「この未曾有の時代に」という言葉に少し飽き飽きしていることでしょう。しかし、今は本当に未曾有の時代です。昨年末には、今年は世界的に破壊的なパンデミックの撲滅に向けて、可能な限りの努力をしていると誰が想像できたでしょうか。世界的な現実というよりは、Netflixの新しいSFシリーズのような、笑い話のような話だったでしょう。COVID-19は、政治的な優先順位は言うまでもなく、私たちの社会生活、経済、雇用の安定性を完全に変えてしまいました。
COVID-19に対する反撃の一つはテクノロジーで、多くの国が連絡先を追跡するアプリを導入しています。オーストラリアでは、シンガポールの「TraceTogether」をモデルにした「COVIDSafe」があります。また、香港、台湾、中国、韓国、イスラエル、ドイツでも、接触者追跡技術が導入されているか、導入が予定されています。英国は、ヨーロッパで最も被害が大きい地域で、ウイルスによる死亡者が数万人にのぼり、感染率も高い。彼らのアプリのリリースが間近に迫っています。同じく被害が大きく、多くの人々が悲劇的に命を落としている米国でも技術が導入されていますが、連絡先の追跡は州ごとに行われているため、状況は非常に複雑です。
中国や台湾のような国家統制の強い国を除いては、これらのアプリの使用は任意であり、市民が自らの意思で技術をダウンロードして使用することが求められています。また、導入率によっては、シンガポールの「TraceTogether」の導入率は25％で、本来の目的を達成することができませんでした。
連絡先を追跡するアプリのアイデアは確かなものです。この技術がうまく機能すれば、ホットスポットを迅速に発見し、総合的な検査を行うことができます。これは、伝染性ウイルスの蔓延に対抗するための重要な要素です。しかし、「政府」や「追跡」という言葉にはあまり魅力を感じませんし、このようなものをダウンロードすることが実際にどのような意味を持つのか、人々が慎重になるのは当然のことです。
では、ユーザーはどのような点に不安を感じているのでしょうか。ネット上のコメントを見ると、以下のような不安があるようです。
- 収集したデータを責任を持って使用するという政府への信頼感の欠如
- サイバー攻撃から個人情報がどの程度保護されるのかという不安感
- どのようなデータが実際に収集されているのか、どこに保存されているのか、そして誰と一緒にいるのかが明確でないこと
- そして、私たち開発者やマニアにとっては、アプリがどれだけしっかりと作られているか。
このような連絡先追跡アプリは、記録的な速さで展開しなければなりません。開発者、セキュリティ担当者、政府機関にとっては悪夢のような話です。
では、不信感は有効な反応なのでしょうか？そして、COVID-19の連絡先追跡アプリとエンドユーザーの安全性について、assessment 、何を優先的に考えるべきなのでしょうか？セキュリティの専門家としての私の直感は、もちろん、プログラムのサイバーセキュリティの要素、つまり、私たちが（善意で）インストールするように強制されているアプリのコードベースがどれだけ安全であるかを掘り下げたいと思います。
多くのアプリはお互いにコピーである（同じ問題を継承する）。
オーストラリアの COVIDSafe アプリは、シンガポールの TraceTogether ソフトウェアと同様、基本的にOpenTrace をベースにしています。しかし問題は、TraceTogetherには様々な問題が報告されていることと、導入率が低いことです。また、特にiOSにおいては、バッテリーの消耗が激しいなど、一般的な性能に関する不満もありました。COVIDSAFEのiOSバージョンには、すべてのデータを適切に記録するために、携帯電話のロックを解除し、アプリをフォアグラウンドで実行する必要があるという、UX上の潜在的な欠陥があります。
上記の問題は煩わしいものですが、より差し迫った懸念は、Bluetoothの脆弱性が蔓延しており、TraceTogetherもオーストラリアのCOVIDSafeもその影響を受けていないということです。5月14日、NISTは、COVIDSafeにサービス拒否の脆弱性があり、攻撃者がBluetoothハンドシェイクの距離にいる場合、遠隔操作でアプリをクラッシュさせることができると報告しました。これにより、組織的な攻撃を受けた場合、人口密度の高い地域でのコンタクトトレースを妨害することができます。この問題は、COVIDSafe、TraceTogether、ポーランドのProteGO、カナダのABTraceTogetherに影響することが知られており、これらはすべて、OpenTraceの欠陥のあるmanuData.subdata呼び出しから問題を継承しています。
Bluetooth機能には、他にもプライバシーやセキュリティの問題があります。この技術が、固有のID（TempID）によって人間の動きを追跡し、意味のあるデータを収集するために使用されているという事実は、弱点を探る攻撃者の関心が高まることを必然的に意味しており、何が収集されているのか、どこに保存されているのか、どのくらいの期間保存されているのかを正確に調べる必要があります。
すでにいくつかのアプリでは、単純なエラーが複雑な弱点を引き起こす兆候が見られます。
オーストラリアのソフトウェアエンジニアであるGeoffrey Huntley氏は、COVIDSafeのソースコードを研究してきましたが、悲しいことに、エンドユーザーである私たちには必ずしも強調されていない問題があります。
致命的な例としては、プライバシーを侵害するロジックエラーがあり、攻撃者がデバイスの長期的な追跡を行うことができてしまいます。これは、アプリ自体のプライバシーポリシーに反するだけでなく、脆弱なユーザーにとっても非常に大きなリスクとなります。
これらのロジックの脆弱性は、5月14日時点でパッチが適用されていますが、より緊急性の高い問題は、ハントリー氏が報告してから17日間、パッチが適用されずに放置されていたことです。ハントリー氏をはじめとする素晴らしいセキュリティコミュニティのメンバーは、COVIDSafeアプリに関連するCVEを追跡しています。
パッチ適用後にHuntley氏が指摘したのは、この修正にも「無能さ」が見られるということです。公開されたログによると、パッチは単に欠陥のあるキャッシュを削除するのではなく、ロジックを追加することで行われており、後者の方がはるかに強固な対処法であると述べています。どちらも機能しますが、生の解決策は繊細さに欠けます-このような重要なアプリケーションでは心配です。
せっかく真面目な社会人が自分の時間と専門知識を使ってソースコードを調べ、問題点を指摘してくれているのに、コードがオープンソースである場合に比べて、彼らの仕事は格段に難しくなっています。現状では、28個のアプリがセキュリティ研究者から閉ざされたままになっています。
セキュアコーディングは、ゴールで躓くことが多いです。
パンデミックの最中に人命救助のためのアプリを作らなければならないという非常に珍しい状況もあり、過労の開発者に同情することはできますが、基本的に共同体のコードベースにいくつかの単純な脆弱性があると、何百万人ものユーザーに重大な問題をもたらす可能性があることを強調しておく必要があります。
ほとんどの人は、善良な市民としてアプリをサポートし、この恐ろしいウイルスの発生を追跡して制御するための最良のチャンスを皆に与えたいと思っていると思います。私も、これを実現するための技術を支持していますが、多くの点で、今回の件は、世界中の開発者に内在する安全なコーディング原則の一般的な欠如を明らかにしました。
ソフトウェアを迅速に作成しなければならない状況では、ミスが発生することは決して想定外ではありません。しかし、論理的欠陥、設定ミス、コードインジェクションエラーなどの一般的なセキュリティ脆弱性は、ボランティアのホワイトハットがコードベースをバラバラにした後ではなく、コードを書いている段階で防ぐことができるものでなければなりません。
ところで、これは開発者のせいではありません。彼らは高等教育を終えた後、セキュアコーディングのスキルをほとんど身につけておらず、キャリアの中でのKPIはほとんどの場合、機能性と納品スピードに関連しており、セキュリティの部分は完成後に他の人が対処することになっています。私たちは、安全なコーディングを迅速に行うという最終状態に到達する必要があります。今は、これらのアプリケーションを構築する部門の文化を劇的に変化させる時ではありませんが、私たちのデジタルリスク領域が拡大しており、セキュリティのベストプラクティスに対する責任を共有するためのツールと知識を与えられれば、彼らは変化をもたらすことができる立場にあるということを、時宜を得て思い起こさせてくれます。
このアプリをダウンロードしても大丈夫ですか？
セキュリティの専門家である私にとっては、このアプリの利点は問題点を上回るという結論に達しました。このソフトウェアに上記のような脆弱性が存在することは理想的ではありませんが、これらが武器になった場合の影響は最悪のシナリオです。現時点では、連絡先の追跡は、世界中の医療関係者が感染の拡大を防ぎ、入院の流れを止め、お互いの安全を確保するための重要な要素となっています。
今回の発表は、ソフトウェアのビルド時にデフォルトでセキュリティのベストプラクティスを導入することに関しては、まだまだ道のりが 長いことを強調するものであり、一般の人々が十分な情報を得た上で意思決定を行うために必要な情報を提供することが重要です。
私たち家族は、今後もこの製品を使い続けますが、皆がすべきこととして、Androidのパッチを最新の状態に保つことには注意を払っています。
始めるためのリソース
セキュアコード・トレーニングのトピックと内容
Our industry-leading content is always evolving to fit the ever changing software development landscape with your role in mind. Topics covering everything from AI to XQuery Injection, offered for a variety of roles from Architects and Engineers to Product Managers and QA. Get a sneak peek of what our content catalog has to offer by topic and role.
%20(1).avif)
始めるためのリソース
Observe and Secure the ADLC: A Four-Point Framework for CISOs and Development Teams Using AI
While development teams look to make the most of GenAI’s undeniable benefits, we’d like to propose a four-point foundational framework that will allow security leaders to deploy AI coding tools and agents with a higher, more relevant standard of security best practices. It details exactly what enterprises can do to ensure safe, secure code development right now, and as agentic AI becomes an even bigger factor in the future.
