POINT アピリッツの3つの安心ポイント
-
01
グローバル標準・国内基準に対応
国際標準である「 OWASP MASVS 」に対応した診断が可能です。また、国内における「JSSEC（日本スマートフォンセキュリティ協会）セキュアコーディングガイド」にも準拠しており、デジタル庁のガイドライン要件も満たします。
-
02
専任の診断エンジニアが対応
システムインフラの最前線を知り尽くした、セキュリティ専門の専任エンジニアが攻撃者の視点で丁寧に診断を実施します。
-
03
開発と診断、両軸で15年以上の実績
ネイティブアプリの開発実績と、スマホアプリ脆弱性診断の実施実績をいずれも15年以上積み重ねてきました。作り手としての実装知識と、攻撃者視点での診断ノウハウの両軸から、指摘だけで終わらない実装に即した改善策をご提示します。
FEATURES
審査リジェクトや情報漏洩から事業を守る、
実践的なスマホアプリ診断
プラットフォーム側のセキュリティ要件が年々厳格化する中、脆弱性を放置したアプリは公開拒否の対象となります。
私たちはアジャイル開発のスピードを落とすことなく、高品質なセキュリティ担保を実現します。
-
SASTとDASTのハイブリッド診断
リバースエンジニアリングを用いたソースコードの静的解析（SAST）と、通信傍受やロジック改ざんを試みる動的解析（DAST）をシームレスに統合。単一の手法では見逃されがちな、端末内のデータ保管不備やアプリ間連携の脆弱性を正確に評価します。
-
開発者目線の分かりやすい報告書
脆弱性の一覧を並べるだけでなく、再現・確認方法を手順として記載し、該当箇所のキャプチャを添えて報告します。どこで何が起きているかがそのまま伝わるため、開発チームが報告書を受け取った時点で修正作業に着手でき、確認のための往復を最小限に抑えられます。
-
手厚いアフターサポート
直ちに情報漏洩等に繋がる重大な脆弱性が発見された場合は即座に速報を連携します。また、報告書納品後も期間中はメールによるQ&Aサポートに対応し、開発チームがスムーズに脆弱性の改修を行えるよう専門エンジニアが技術的に伴走支援いたします。
開発会社ならではの「開発視点」でのアプローチ
弊社では2008年、日本初となる「iPhone 3G」の発売当初からスマホアプリ開発の専任部隊を設けております。長年にわたるアプリ開発で培われたノウハウがあるからこそ、表面的な脆弱性だけでなく、実装の裏側にあるロジックの欠陥を見抜く精度の高い診断アプローチが可能です。
SaaS型「自動スキャンツール」との違い
近年台頭するSaaS型の自動化ツールは導入が手軽な反面、スマホアプリ特有の複雑なビジネスロジック、リバースエンジニアリング耐性、インテントを通じたアプリ間連携の隙を正確に評価することは困難です。
デジタル庁ガイドラインでも「専門家による手動による診断との併用が不可欠」と明記されている通り、当社はツールの死角を埋める、文脈を理解した専門技術者による「深層の論理検証」をご提供します。
PLAN 診断メニュー
お客様のセキュリティ要件や開発フェーズに合わせて、2つの診断プランをご用意しております。
各プランの診断項目は診断項目をご参照ください。
ツールによる診断（Androidのみ）
JSSEC（日本スマートフォンセキュリティ協会）の「Androidセキュアコーディングガイド」に基づき、ツールを用いて手軽にベースラインのセキュリティチェックを行います。開発初期フェーズでのスクリーニングに最適です。
- JSSECガイドラインベースの診断
- スキャンツールによる迅速な検証
詳細診断
Android/iOSアプリに対し、専門エンジニアがリバースエンジニアリングを用いた高度な解析を実施します。ビジネスロジックの脆弱性や難読化の突破など、攻撃者と同じ視点で徹底的に弱点を洗い出します。
- OWASP MASVS 準拠
- リバースエンジニアリング（静的解析・動的解析）
- iOS / Android 両対応
バックエンド（API通信）のセキュリティ診断について
スマホアプリからサーバーへのAPI通信領域に潜む脆弱性につきましては、弊社の「Webアプリケーション診断」にて対応しております。
API診断を実施する際は、API仕様書（Swagger等で閲覧可能なOpenAPI形式や、Excel等のドキュメント）をご提供いただくことで、より網羅的で精緻な検証が可能となります。アプリ本体の詳細診断とセットでの包括的なセキュリティ評価も承っております。
STANDARDS スマホアプリ脆弱性診断の診断項目
診断プランによって診断項目が異なります。詳細診断はOWASP Mobile Application Security Verification Standard (MASVS) に準拠した手動診断、ツールによる診断（Androidのみ）はJSSEC「Androidセキュアコーディングガイド」に基づくツール検出項目が対象です。
見出しをクリックすると、診断項目と診断内容の一覧をご覧いただけます。
詳細診断（手動診断）の診断項目一覧 OWASP MASVS 準拠 / 全16項目 診断項目を見る 閉じる
| No | 診断項目 | 診断内容 |
|---|---|---|
| 1 | SSL証明書検証の不備 | SSLを用いて通信する際に不適切な証明書が利用可能か検査します。 |
| 2 | 平文送信 | 平文で重要情報を送信していないか検査します。 |
| 3 | Webviewに関する脆弱性 | Webviewを利用した攻撃が可能かを検査します。 |
| 4 | 不適切なパーミッションの使用 | アプリが不必要に多くの権限を持っていないか検査します。 |
| 5 | カスタムスキーマの不適切な使用 | カスタムスキーマ経由で不適切な動作が行われないか検査します。 |
| 6 | デバッグ機能の使用 | 本番向けのビルドでデバッグ機能が利用可能か検査します。 |
| 7 | アプリへの重要情報の埋め込み | アプリ内に重要情報（APIキーやクレデンシャル等）が存在していないか検査します。 |
| 8 | ストレージへの重要情報の出力 | 端末内やSDカード上に重要情報を出力していないか検査します。 |
| 9 | ログへの重要情報の出力 | ログに重要情報を出力していないか検査します。 |
| 10 | データ改竄による不正操作 | 保存されたデータを書き換えることにより不正な操作ができるか検査します。 |
| 11 | 不適切な認証方式 | 不適切な認証方式を使用していないか検査します。 |
| 12 | 端末の時間変更による制限の迂回 | 端末の時間を変更し、アプリ内の機能の利用制限を迂回できないか検査します。 |
| 13 | フルバックアップ機能の使用 | フルバックアップ機能が有効の場合、アプリ内の情報がバックアップされる恐れがないか検査します。 |
| 14 | インテントの不正利用 | 外部からインテントを受け取った際に想定外の動作を行わないかを検査します。 |
| 15 | ContentProviderの不正利用 | 外部からContentProviderを利用してデータの取得や改竄が可能かを検査します。 |
| 16 | 重要情報のBroadcast | 重要情報がブロードキャストされていないか検査します。 |
ツールによる診断（Androidのみ）の検出項目一覧 JSSEC「Androidセキュアコーディングガイド」ベース / ツール検出項目 検出項目を見る 閉じる
脆弱性に関する項目
- Activityの脆弱性
- Serviceの脆弱性
- ContentProviderの脆弱性
- BroadcastReceiverの脆弱性
- AndroidManifest.xmlの脆弱性
- 使用できないPermission
- 不要なPermission
- 外部記憶装置へのアクセス
- ファイルのアクセス制限不備
- Log出力メソッドの使用
- JavaScriptが使用可能なWebView
- JavaScriptを使用しているAsset内HTMLファイル
- SSL通信時の証明書検証不備
- アプリ内に含まれているURL
- 安全性の低い暗号化ロジック
- プログラム内に組み込まれているライブラリの問題
etc...
品質に関する項目
- 誤った証明書の使用
- AndroidManifest.xml内の不要な項目
- デバッグモードの設定
- OSバージョン固有の問題
- 廃止されたAPIの使用
- プライバシーに配慮が必要な処理
- Android推奨ルールからの逸脱
- 実行時エラーとなる可能性
etc...
マルウェアと疑われる可能性のある項目
- グレーゾーンアプリの疑いのあるPermissionの使用
- 危険なPermissionの使用
- 広告ライブラリの使用
- 危険なライブラリの使用
- グレーゾーンのライブラリ使用
etc...
FLOW 診断の流れ
改修後の再診断は、リバースエンジニアリングを再度実施するため有償オプションでの対応となります。
-
01
ヒアリング
- 対象システムに関してのヒアリングを実施
- 対象システムの対象リストの精査、決定
-
02
アプリの受け渡し方法調整
- 診断方法の確認（手動診断・手動診断とツール診断のハイブリッド診断）
- 正式リリースを利用する場合は、アプリストア経由
- 開発中・関係者向けの場合は、TestFlightや、Firebase App Distribution等や直接ファイルをお送り頂く等も可能。
- 診断日程調整
-
03
診断実施
- 速報連絡（重大な脆弱性を発見した場合に速報を提出）
-
04
報告書納品
- 発見された問題点一覧を提出
- 問題点の改善について、緊急度や必要性を評価
- 問題点が及ぼす影響の評価
- すべての問題点について、再現方法提示・具体的な対策方法を提示
-
05
報告会
オプション- 発見された結果を元に報告会を実施
- 技術的視点からの改善策をご提示
-
06
QAサポート/再診断
再診断はオプション（有償）- QAサポートは、メールやSlack等にて対応
- 再診断は診断費用に含まれず、別途お見積りによる有償オプションとなります
- スマホアプリの再診断はリバースエンジニアリングを再度実施する必要があるため、有償での対応となります
FAQ よくあるご質問
診断の対象・準備
- Q診断対象のソースコードを提供する必要はありますか？
- 詳細診断（リバースエンジニアリング）を行う場合、原則としてビルド済みのアプリファイル（.apk, .ipa等）をご提供いただければブラックボックスでの診断が可能です。
- QFlutter等のクロスプラットフォーム開発の場合、片方のOSだけの診断で十分ですか？
- 共通のソースコード（Flutter、React Nativeなど）からビルドした場合でも、最終的に出力されるアプリファイルはOSごとに異なります。また、権限（パーミッション）や連携機能など、OS固有の設定内容は個別に確認する必要があるため、安全性を担保するためにAndroidとiOSの両方での診断実施を強く推奨しております。
工期・コスト
- QiOSとAndroid両方の診断をお願いした場合、期間はどのくらいかかりますか？
- 対象となるアプリの機能数や画面数にもよりますが、最短2営業日での着手後、約2週間程度で報告書を納品することが一般的です。お急ぎのリリースを控えている場合は柔軟に対応いたしますのでご相談ください。
- Qアプリが通信するWeb API側の診断も合わせてお願いできますか？
- はい、可能です。当社の「Webアプリケーション診断」とセットでご提供することにより、クライアント（アプリ）側からバックエンドサーバー側までワンストップで包括的なセキュリティ評価を実施できます。
結果・アフターサポート
- Q報告書には脆弱性の修正アドバイスも記載されますか？
- はい。単に脆弱性を指摘するだけでなく、実装言語やフレームワークに応じた具体的な対策方法、セキュアコーディングの例などを報告書に明記し、開発者様がすぐに修正作業に取り掛かれるようサポートします。
- Q修正後の再診断は無料ですか？
- スマホアプリの詳細診断におきましては、再診断は原則として別途お見積り（有償オプション）でのご提供となります。修正内容が適切に反映され、脆弱性が塞がれているかを専門家が最終確認します。