transcript
show notes
第74回目の放送です。今回のテーマは、NICTが10月13日に注意喚起を出した「A2B攻撃（App-to-Backend Attack）」。国内で相次ぐ個人情報の漏えい、その原因の一つとして名指しされた手口です。狙われるのはスマホアプリそのものではなく、その裏側でログインや会員情報を管理しているバックエンドサーバー。攻撃者は公開アプリを持ち帰って解析し、「このサーバーにはこう頼めば通るかもしれない」とオーダーメイドの攻撃を組み立てます。アプリを役所の窓口に置かれた記入用紙にたとえると、本当の問題は用紙が誰でも持ち帰れることではなく、窓口が中身を確かめずに受け付けてしまうこと。悪用された4つの脆弱性、SQLインジェクション・RCE・IDOR・SSRFに共通する弱点も、まさにそこにあります。後半はSSRFに絞り、URLプレビューのような身近な機能から、クラウドの認証情報、さらにストレージの大量データへと被害が芋づる式に広がる流れを追いかけ、アプリ・権限・ネットワークの3層で止める多層防御を整理しました。認証と認可の違いなど、試験に直結する観点もまとめています。オープニングは先週末のキングオブコントの話から。「寝てない」が言い訳になる人間に対して、一睡もせず、頼まれたことを素直にやってしまう働き者とは？ 今日のテーマへのつながりをお楽しみください！
オープニング｜キングオブコントと一睡もしないサーバー 00:00:00
NICTの注意喚起｜A2B攻撃とは何か 00:04:00
攻撃の4ステップ｜アプリは役所の記入用紙 00:08:00
A2B攻撃の危険性｜オーダーメイド攻撃とAIによる効率化 00:11:00
悪用された4つの脆弱性｜SQLインジェクション・RCE・IDOR・SSRF 00:14:00
SSRF｜サーバーに勝手な「お使い」をさせる攻撃 00:20:00
SSRF対策｜アプリ・権限・ネットワークの多層防御 00:22:00
試験に活かす3つのポイント 00:24:00
振り返り｜多層防御は通信の流れでイメージする 00:27:00
スリーウェイハンドシェイク｜つけ麺さんのコメント 00:29:00
イベント告知とエンディング 00:33:00
■ 参考：NICT 注意喚起
相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」
https://cynex.nict.go.jp/library/261013-01.html
presented by まさる ＆ かとこ
感想やコメントはYoutubeへ
━━━━━━━━━━━━━━━━━━━━
まさるの勉強部屋 公式LINE
━━━━━━━━━━━━━━━━━━━━
学習に役立つ情報やお知らせを配信しています
ぜひお気軽にご登録ください！
https://lin.ee/xirUlvH