縲宣℃蜴ｻ蝠剰ｧ｣隱ｬ縲第ュ蝣ｱ蜃ｦ逅螳牙ｨ遒ｺ菫晄髪謠ｴ螢ｫ 莉､蜥鯉ｼ募ｹｴ蠎ｦ遘句ｭ｣縲仙壕蠕 蝠擾ｼ薙
syun032023蟷ｴ10譛8譌･螳滓命縺ｮ諠蝣ｱ蜃ｦ逅螳牙ｨ遒ｺ菫晄髪謠ｴ螢ｫ隗｣遲秘溷ｱ
豈主ｹｴ縺ｮ縺薙→縺ｪ縺後ｉｼ暦ｽ橸ｼ伜牡縺ｮ豁｣隗｣邇縺九→諤昴＞縺ｾ縺吶る俣驕輔＞繧荳肴守せ縺斐＊縺縺ｾ縺励◆繧峨さ繝｡繝ｳ繝医￥縺縺輔＞縲
| 譖ｴ譁ｰ螻･豁ｴ | 譖ｴ譁ｰ譌･譎 | 蜀螳ｹ |
|---|---|---|
| 蛻晉沿 | 10譛8譌･ | |
- 1. 蝠擾ｼ 邯咏ｶ夂噪繧､繝ｳ繝繧ｰ繝ｬ繝ｼ繧ｷ繝ｧ繝ｳ繧ｵ繝ｼ繝薙せ縺ｮ繧ｻ繧ｭ繝･繝ｪ繝繧｣
- 1.1. 險ｭ蝠擾ｼ
- 1.2. 險ｭ蝠擾ｼ
- 1.2.1. ｼ茨ｼ托ｼ
- 1.2.2. ｼ茨ｼ抵ｼ
- 1.2.3. ｼ茨ｼ難ｼ
- 1.2.3.1. DNS繧ｹ繝励ｼ繝輔ぅ繝ｳ繧ｰ(DNS spoofing)
- 1.2.3.2. 繝峨Γ繧､繝ｳ繝輔Ο繝ｳ繝繧｣繝ｳ繧ｰ(Domain fronting)
- 1.2.3.3. 繝峨Γ繧､繝ｳ蜷阪ワ繧､繧ｸ繝｣繝繧ｯ(Domain Hijacking)
- 1.2.3.4. 繝ｩ繝ｳ繝繝繧ｵ繝悶ラ繝｡繧､繝ｳ謾ｻ謦(Random Subdomain Attack)
- 1.2.4. ｼ茨ｼ費ｼ
- 1.2.5. ｼ茨ｼ包ｼ
- 1.2.5.1. WebAuthn
- 1.2.6. ｼ茨ｼ厄ｼ
- 1.3. 險ｭ蝠擾ｼ
- 1.3.1. ｼ茨ｼ托ｼ
- 1.3.2. ｼ茨ｼ抵ｼ
- 1.3.3. ｼ茨ｼ難ｼ
- 1.3.4. ｼ茨ｼ費ｼ
蝠擾ｼ 邯咏ｶ夂噪繧､繝ｳ繝繧ｰ繝ｬ繝ｼ繧ｷ繝ｧ繝ｳ繧ｵ繝ｼ繝薙せ縺ｮ繧ｻ繧ｭ繝･繝ｪ繝繧｣
險ｭ蝠擾ｼ
隗｣遲
繧ｦ縲√お
隗｣隱ｬ
繧｢縲√う縺ｯ繝励Ο繧ｻ繧ｹ縺ｧ縺吶ｮ縺ｧ繧ｲ繧ｹ繝OS縺ｪ縺ｩ縺ｮ閼蠑ｱ諤ｧ繧呈が逕ｨ縺励↑縺縺ｨ謌仙粥縺励∪縺帙ｓ縲
繧ｪ繧ら音讓ｩ繧剃ｸ肴ｭ｣縺ｫ蜿門ｾ励☆繧九↑縺ｩ縺ｮ閼蠑ｱ諤ｧ繧呈が逕ｨ縺励↑縺縺ｨ謌仙粥縺励∪縺帙ｓ縲
險ｭ蝠擾ｼ
ｼ茨ｼ托ｼ
隗｣遲
蛛ｽ繧ｵ繧､繝医〒蜿門ｾ励＠縺溯ｪ崎ｨｼ諠蝣ｱ繧貞茜逕ｨ縺励ゝOTP縺ｮ譛牙柑譎る俣蜀縺ｫ隱崎ｨｼ繧定｡後≧
隗｣隱ｬ
繧ｯ繝ｩ繧ｦ繝臥ｮ｡逅繧ｵ繧､繝医∈縺ｮ繝ｭ繧ｰ繧､繝ｳ縺ｫ蠢隕√↑隕∫ｴ縺ｯｼ偵▽縺ｧ縺吶
- 繝ｭ繧ｰ繧､繝ｳ譎ゅｮ隱崎ｨｼ諠蝣ｱ
- 繧｢繝励Μ縺ｫ陦ｨ遉ｺ縺輔ｌ繧亀OTP
縺薙ｮ2縺､縺梧純縺縲√°縺､TOTP縺ｮ譛牙柑譎る俣蜀縺ｫ繝ｭ繧ｰ繧､繝ｳ縺吶ｋ蠢隕√′縺ゅｊ縺ｾ縺吶
ｼ茨ｼ抵ｼ
隗｣遲
繧｢
隗｣隱ｬ
遏･隴伜撫鬘後〒縺吶ｭ縲ゅ瑚ｨｼ譏取嶌縺ｮ騾乗取ｧ縲阪↓髢｢縺吶ｋ蜀螳ｹ縺ｮ繧医≧縺ｧ縺吶
ｼ茨ｼ難ｼ
隗｣遲
繧､
隗｣隱ｬ
DNS繧ｹ繝励ｼ繝輔ぅ繝ｳ繧ｰ(DNS spoofing)
DNS繧ｵ繝ｼ繝舌ｼ縺ｮ繧ｨ繝ｳ繝医Μ繧偵昴う繧ｺ繝九Φ繧ｰ縺励∵ｨ咏噪縺ｨ縺ｪ繧九Θ繝ｼ繧ｶ繝ｼ繧呈判謦閠縺ｮ繧ｳ繝ｳ繝医Ο繝ｼ繝ｫ荳九↓縺ゅｋ謔ｪ諢上ｮ縺ゅｋ繧ｦ繧ｧ繝悶し繧､繝医↓繝ｪ繝繧､繝ｬ繧ｯ繝医＆縺帙ｋ謾ｻ謦縺ｧ縺吶
繝峨Γ繧､繝ｳ繝輔Ο繝ｳ繝繧｣繝ｳ繧ｰ(Domain fronting)
繧医￥遏･繧峨ｌ縺溘し繝ｼ繝薙せ繧繝峨Γ繧､繝ｳ縺ｫ繝繝ｼ繧ｿ繧呈ｽ懊∪縺帙ｋ縺薙→縺ｧ繝医Λ繝輔ぅ繝繧ｯ繧貞⊃陬縺励ｈ縺縺ｨ縺吶ｋ繝繧ｯ繝九ャ繧ｯ縺ｧ縺吶ゆｸｻ縺ｫCDNｼContents Delivery Networkｼ峨〒蛻ｩ逕ｨ縺輔ｌ繧区橿陦薙〒縺吶
繝峨Γ繧､繝ｳ蜷阪ワ繧､繧ｸ繝｣繝繧ｯ(Domain Hijacking)
繝峨Γ繧､繝ｳ縺ｮ諠蝣ｱ繧呈嶌縺肴鋤縺医※繧ｵ繧､繝医ｒ荵励▲蜿悶ｋ謾ｻ謦縺ｧ縺吶
繝ｩ繝ｳ繝繝繧ｵ繝悶ラ繝｡繧､繝ｳ謾ｻ謦(Random Subdomain Attack)
DNS繧ｵ繝ｼ繝舌ｼ繧呈が逕ｨ縺励◆DDoS謾ｻ謦縺ｮ1縺､縲よｨｩ螽．NS繧ｵ繝ｼ繝舌ｼ縺ｫ蟇ｾ縺励※縲．NS繝励Ο繝医さ繝ｫ繧呈が逕ｨ縺怜､ｧ驥上ｮ蝠上＞蜷医ｏ縺帙ｒ陦後≧縺薙→縺ｫ繧医ｊ雋闕ｷ繧偵°縺代Μ繧ｽ繝ｼ繧ｹ繧呈椡貂縺輔○縺ｾ縺吶
ｼ茨ｼ費ｼ
隗｣遲
繝輔Ο繝ｳ繝医お繝ｳ繝峨°繧韻I繝繝ｼ繝｢繝ｳ縺ｫ騾∽ｿ｡縺輔ｌ縺滓ュ蝣ｱ繧貞叙蠕励☆繧
隗｣隱ｬ
繧ｷ繝ｼ繧ｯ繝ｬ繝繝医ｒ縺ｩ縺薙°繧牙叙蠕励＠縺ｩ縺薙↓騾∽ｿ｡縺励※縺繧九ｮ縺九√→縺縺繝繝ｼ繧ｿ縺ｮ豬√ｌ繧堤｢ｺ隱阪＠縺ｾ縺吶
繝ｦ繝ｼ繧ｶ繝繝ｼ繧ｿ繝吶ｼ繧ｹ縺九ｉ蜿門ｾ励＠縺溘す繝ｼ繧ｯ繝ｬ繝繝医′繝舌ャ繧ｯ繧ｨ繝ｳ繝峨ｮCI繝繝ｼ繝｢繝ｳ縺ｫ騾∽ｿ｡縺輔ｌ縺ｦ縺縺ｾ縺吶
繝励Ο繧ｻ繧ｹY縺ｯ縺薙％縺ｧ繧ｷ繝ｼ繧ｯ繝ｬ繝繝医ｒ蜿門ｾ励＠縺溘ｂ縺ｮ縺ｨ謗ｨ貂ｬ縺ｧ縺阪∪縺吶
ｼ茨ｼ包ｼ
隗｣遲
逕滉ｽ捺ュ蝣ｱ縺ｪ縺ｩ繝代せ繝ｯ繝ｼ繝我ｻ･螟悶ｮ譁ｹ豕輔〒隱崎ｨｼ繧定｡後≧縺溘ａ
隗｣隱ｬ
WebAuthn
蜈ｬ髢矩嵯證怜捷縺ｫ繧医ｋ繝繧ｸ繧ｿ繝ｫ鄂ｲ蜷阪ｒ蠢懃畑縺励仝eb荳翫〒繝代せ繝ｯ繝ｼ繝我ｸ崎ｦ√ｮ隱崎ｨｼ繧貞ｮ溽樟縺吶ｋ謚陦
- Web繧ｵ繝ｼ繝薙せ縺ｯ縲√Θ繝ｼ繧ｶ繝ｼ縺ｫ蜈ｬ髢矩嵯證怜捷縺ｮ骰ｵ繝壹い繧剃ｽ懈舌＠縺ｦ逋ｻ骭ｲ縺吶ｋ繧医≧縺ｫ隕∵ｱゅ＠縺ｾ縺吶る嵯繝壹い縺ｯ縲√Θ繝ｼ繧ｶ繝ｼ縺ｮ遶ｯ譛ｫ繧隱崎ｨｼ蝎ｨ縺ｫ菫晏ｭ倥＆繧後∪縺吶
- 繝ｦ繝ｼ繧ｶ繝ｼ縺後Ο繧ｰ繧､繝ｳ縺吶ｋ縺ｨ縺阪ｯ縲仝eb繧ｵ繝ｼ繝薙せ縺ｯ繝ｦ繝ｼ繧ｶ繝ｼ縺ｫ鄂ｲ蜷阪ｒ豎ゅａ縺ｾ縺吶らｽｲ蜷阪ｯ縲√Θ繝ｼ繧ｶ繝ｼ縺ｮ遶ｯ譛ｫ繧隱崎ｨｼ蝎ｨ縺悟ｬ髢矩嵯證怜捷繧剃ｽｿ縺｣縺ｦ菴懈舌＠縺ｾ縺吶
- Web繧ｵ繝ｼ繝薙せ縺ｯ縲∫ｽｲ蜷阪ｒ讀懆ｨｼ縺励※隱崎ｨｼ繧定｡後＞縺ｾ縺吶
ｼ茨ｼ厄ｼ
隗｣遲
繧｢
隗｣隱ｬ
諢丞峙縺励↑縺隱崎ｨｼ螻縺九ｉ險ｼ譏取嶌縺檎匱陦後＆繧後ｋ縺薙→繧帝亟縺千岼逧縺ｧ菴懈舌＆繧後◆繝ｬ繧ｳ繝ｼ繝峨〒縺吶
險ｭ蝠擾ｼ
ｼ茨ｼ托ｼ
隗｣遲
J繧ｹ繝医い縺ｫP繧｢繝励Μ縺ｫ蛛ｽ陬縺励◆謔ｪ諢上ｮ縺ゅｋ繧｢繝励Μ繧貞ｬ髢九＆繧後ｋ
隗｣隱ｬ
K縺輔ｓ縺瑚｡後▲縺溷螳ｹ縺ｯ荳玖ｨ倥ｮｼ偵▽縲
- STORE_API_KEY 縺ｮ蜀咲匱陦 (縺薙■繧峨ｯ(2)縺ｮ隗｣遲)
- API_SIGN_KEY 縺ｮ螟ｱ蜉ｹ逕ｳ隲
[N遉ｾ縺ｮ鬘ｧ螳｢縺ｧ縺ｮ蟇ｾ蠢彎 繧堤｢ｺ隱阪☆繧九→縲√％縺ｮｼ偵▽縺ｯJ繧ｹ繝医い縺ｫ繧｢繝励Μ繧偵い繝繝励Ο繝ｼ繝峨☆繧矩圀縺ｫ蛻ｩ逕ｨ縺吶ｋ縺薙→縺後ｏ縺九ｊ縺ｾ縺吶
縺薙％縺九ｉ隗｣遲斐ｮ蜀螳ｹ繧貞ｰ弱￥縺薙→縺後〒縺阪∪縺吶
ｼ茨ｼ抵ｼ
隗｣遲
隱崎ｨｼ逕ｨAPI繧ｭ繝ｼ縺ｮ蜑企勁縺ｨ蜿門ｾ
隗｣隱ｬ
隱崎ｨｼ逕ｨAPI繧ｭ繝ｼ縺梧ｵ∝ｺ縺励※縺繧句庄閭ｽ諤ｧ縺後≠繧九ｮ縺ｧ縺ゅｌ縺ｰ縲∫┌蜉ｹ蛹悶☆繧九↑縺ｩ縺ｮ蟇ｾ蠢懊′蠢隕√↓縺ｪ繧翫∪縺吶
J遉ｾ縺ｨ縺励※蜿悶ｌ繧区焔谿ｵ繧堤｢ｺ隱阪☆繧九→縲∽ｸ玖ｨ倥ｮ險倩ｼ峨′縺ゅｋ縺薙→縺後ｏ縺九ｊ縺ｾ縺吶
ｼ茨ｼ難ｼ
隗｣遲
鄂ｲ蜷埼嵯縺ｮ荳肴ｭ｣縺ｪ謖√■蜃ｺ縺励′蝗ｰ髮｣
隗｣隱ｬ
ｼ茨ｼ費ｼ
隗｣遲
| 蠖ｱ髻ｿ | 繧｢繝励Μ縺ｮ襍ｷ蜍輔↓螟ｱ謨励☆繧 |
| 蟇ｾ蠢 | J繧ｹ繝医い縺ｫ縺ｦP繧｢繝励Μ繧呈怙譁ｰ迚医↓譖ｴ譁ｰ縺吶ｋ |
隗｣隱ｬ
繧ｹ繝槭ｼ繝医ヵ繧ｩ繝ｳOS縺後い繝励Μ襍ｷ蜍墓凾縺ｮ繧ｳ繝ｼ繝臥ｽｲ蜷阪ｮ譛牙柑諤ｧ讀懆ｨｼ縺ｫ螟ｱ謨励☆繧九◆繧
