Download as PDF, PPTX
Hybrid appmeetssecurity kdl20171017-20
Hybrid App meets Security!
Recommended
More Related Content
What's hot
Similar to Hybrid appmeetssecurity kdl20171017-20
Hybrid appmeetssecurity kdl20171017-20
- 1.
- 2.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 1自己紹介株式会社 神戸デジタル・ラボソリューション本部 副本部⾧ 兼スマートビジネスセクション 部⾧柏原 健（かしはら けん）・業務系システム開発の責任者・アパレル系が得意・スマホアプリの開発をするならハイブリットと社内で普及中
- 3.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 2いわゆる、システム開発会社セキュリティなどもやってるこのあたりでハイブリットアプリの開発も実施どんな会社
- 4.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 3今回の内容弊社では、セキュア開発をすすめています。もちろん、ハイブリットアプリに対してもセキュリティを考慮する必要があり、各種取組を実施していってます。今回は、その取組内容をご紹介いたします。
- 5.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 4一般的な開発プロセス05030201 04要件定義 設計 開発 テスト 運用セキュリティを担保しろといわれたら？出荷基準としてセキュリティを担保する。KDLでも、全ての納品システムの出荷基準として脆弱性診断を実施しています！
- 6.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 5ぶっちゃけ 大変じゃないの？「ハイブリットアプリ開発メンバーより」・診断してたら、アップルの審査に間に合わないじゃん！・開発コストより診断コストの方が高いんじゃないの？（弊社では、マニュアル診断を基本としています。）・ハイブリッドなんだから診断しなくて大丈夫ですよｗ！・脆弱性の指摘が山ほどでました、、、・診断チームと日程調整が合いません。
- 7.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 6ぶっちゃけ 大変じゃないの？必要性は理解できても、やっぱり大変。コスト 手戻りようするに今までの開発行程よりやること増えることで新たな問題も発生するスケジュール
- 8.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 7じゃぁどうする？スマホアプリの脆弱性診断はやらない！じつは、あり！？業務システムなど特定の条件下では、脆弱性診断をしない場合も結構あります。KDLでもお客様と書面で合意をとり、診断をしない場合もあります。出荷基準としての脆弱性診断をするのは大変！脆弱性診断も必要やっぱり基本は、
- 9.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 8じゃぁどうする？自分たち（開発者）でやれば良くない？！開発段階から自分たちでチェックできれば・・・スケジュール・コストも調整しやすいのではということで出荷基準としての脆弱性診断をするのは大変！
- 10.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 9Secure Coding Checker を使ってみる！APKファイルをアップするだけ開発時から何度でもチェック可超～簡単Webベースでセキュリティチェックしてくれる修正方法が確認しやすい
- 11.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 10Secure Coding Checker を使ってみる！赤いアイコンがいっぱい・・・(ドキッとして、げんなり)早速チェックすると・・・
- 12.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 11ハイブリットアプリの構成をおさらいHTMLコンテンツOS APIネイティブコードコルドバとかネイティブ部分HTMLやJavaScriptを使う、業務ロジック部分検査ではわかりにくい部分も結構大事このあたりで結構違反がでるこのあたりは注意がでる注意でも実際ここが大事業務ロジック部分に脆弱性が埋もれてる可能性あり！違反が出てても問題ないところもある！
- 13.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 12よく提案するハイブリットアプリ構成会員管理セッション管理コンテンツ管理HTMLコンテンツネイティブコード商品管理決済管理店舗管理まわりのシステムとの連携部分も重要（通信の暗号化、認証方法、個人情報の扱い）各システムとのデータ連携
- 14.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 13Secure Coding Checker を使ってみる！・開発PFやチェックツールを使えばセキュアになるわけではない100%・ハイブリッドアプリの特性を理解すること・アプリの要件によって、HTMLとJavaScript部分が重要・まわりのシステムにお願いすることもあるわかったこと・お客様にお願い（合意）することも大事
- 15.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 14セキュア開発って？05030201 04要件定義 設計 開発 テスト 運用開発やテスト段階でのセキュリティ考慮が大事設計や要件定義段階でのセキュリティ考慮が重要だけでなくSHIFT LEFT
- 16.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 15セキュア開発って？05030201 04要件定義 設計 開発 テスト 運用OWASPアプリケーションセキュリティ検証標準（3.0.1）に基づいてセキュリティ要件を策定し、設計に反映要件定義～設計・セキュアなフレームワークを利用してWEBアプリケーションを開発・コーディングチェッカーを導入し、コーディング時に脆弱性を排除開発全納品物に対して『OWASP TOP 10』を基準とした脆弱性診断を実施テスト脆弱性対策、バージョン管理、防御、監視、事故対応で、「セキュリティ運用」をサポート運用各開発プロセスに対してセキュリティを考慮しています。
- 17.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 16Monacaを利用した開発事例アパレルブランドアプリ（パシオス）アパレルブランド情報アプリブランドやアイテムの最新情報やクーポンの通知が可能。チラシの情報表示も可能あまりセキュリティ要件としては厳しくなくコンテンツを表示するのみ
- 18.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 17Monacaを利用した開発事例アパレルブランドアプリ（Arpege story）〇〇 〇〇アパレルブランド情報アプリブランドやアイテムの最新情報やクーポンの通知が可能。また、ログインすることでポイントも管理することができる会員証アプリとして利用可能。ログインすることで氏名・ポイントをアプリ側に連携し表示。APIで認証をしてトークを発行したり、SSLで通信をしたり連携通信まわりでセキュリティを考慮。
- 19.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 18Monacaを利用した開発事例アパレルブランドアプリ（1er Arrondissement）〇〇 〇〇アパレルブランド情報アプリブランドやアイテムの最新情報やクーポンの通知が可能。また、ログインすることでポイントも管理することができる会員証アプリとして利用可能。ログインすることで氏名・ポイントをアプリ側に連携し表示。APIで認証をしてトークを発行したり、SSLで通信をしたり連携通信まわりでセキュリティを考慮。
- 20.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 19Monacaを利用した開発事例アパレルブランドアプリ（feerique）アパレルブランド情報アプリブランドやアイテムの最新情報やクーポンの通知が可能。また、ログインすることでポイントも管理することができる会員証アプリとして利用可能。ログインすることで氏名・ポイントをアプリ側に連携し表示。APIで認証をしてトークを発行したり、SSLで通信をしたり連携通信まわりでセキュリティを考慮。
- 21.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 20Monacaを利用した開発事例パティシエ向け情報アプリ（日仏商事）パティシエとパン職人向けの情報配信アプリアンケート結果がリアルに共有されることで最新のトレンドをキャッチ可能。会員管理もしたいという要望だったが目的的にはアンケートの集計で傾向をみたいというものだったので、ニックネームや性別といった属性にとどめることで、セキュリティリスクを低減
- 22.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 21Monacaを利用した開発事例業務アプリアパレル展示会アプリ〇〇〇（〇〇〇）様 〇〇〇（〇〇〇）様アパレル展示会場での受注アプリNFCリストバンドで展示会場の端末（iPad）にログインをする事でスムーズな受注が可能。アプリやネットワークもイントラ内の仕組みのためインフラまわりでセキュリティを考慮
- 23.Copyright Ⓒ KobeDigital Labo , Inc. All rights Reserved 22Monacaを利用した開発事例スーツ専門店会員アプリスーツ専門店会員アプリ会員情報やポイント情報の連携あり。スーツの仕上がり情報をプッシュ通知することで会員とのコミュニケーションができる。精度の高い会員情報をとる必要があり会員登録ルートの整理を実施。ユーザーがアプリから登録するのではなく、スタッフが店舗システムから登録した情報をアプリに表示。通信はVPNで実施。
- 24.Copyright Ⓒ KobeDigital Labo , Inc. All rights ReservedMonacaやSCCなどを利用しながらセキュア開発を進めていきましょう！