安全なコーディング手法:タップジャックについて話そう

「タップ」と「ハイジャック」を組み合わせたタップジャックは、まさにそれを意味します。これは、攻撃者がユーザーのタップをハイジャックして、意図しないことをするように仕向ける攻撃です。では、この攻撃はどのように機能し、どのように防ぐことができるのでしょうか。

ストーリーはスクリーンオーバーレイから始めます。スクリーンオーバーレイ、またはGoogleが言うところの「TYPE_APPLICATION_OVERLAY」タイプのウィンドウ。 これらは他のアプリの上部に描画されるウィンドウで、通常は画面の一部のみが見えにくくなります。これらは、アプリが新しい権限をリクエストするときによく使用されます (下の画像の例のように)。

これは実際にはクールで楽しい機能であり、ますます多くのアプリが使用され始めています。下のスクリーンショットのように、Facebookのチャットバブルや、画面の隅にあるGoogleマップのナビゲーションについて考えてみてください。

ただし、これらのオーバーレイにはセキュリティ上のリスクが伴います。アクティブなスクリーンオーバーレイはどれもタップを聞き取ることができますが、バブルをタップまたはドラッグしたことをFacebookが知るにはどうすればよいでしょうか？これにより、アプリがユーザーをスパイし、パスワードやクレジットカードデータを盗む可能性があります。

さらに一歩進んで、タップジャックという用語の由来にもなっています。オーバーレイは、他のアプリの上に何かを描画して、ユーザーをだましてさまざまなアクションを実行させることができます。ユーザーは自分がオーバーレイを操作していると思っていますが、実際には、タップは基盤となるアプリでもアクションを実行します。こうすることで、この例のように、オーバーレイはユーザーを騙して特定の権限を有効にさせたり、危険な設定を変更させたりすることができます。 古いユーチューブの動画。

上のデモ動画は2010年にYouTubeにアップロードされたので、古いバージョンのAndroidで撮影したものです。しかし、この攻撃は今日でもなお重要であり、 脆弱性 ヌガーやマシュマロなどの新しいバージョンのAndroidでタップジャックを許可することが明らかになりました。

それで、あなたはそれについて何ができるでしょうか？ユーザーとしては、これらのオーバーレイがもたらす影響を認識し、オーバーレイを使用するアプリについて知っておくことが重要です。API レベル 23 (Android 6.0 マシュマロ) 以降、この権限は次のような権限になりました。 ユーザーによる明示的な許可が必要です。しかし、それは去ります アンドロイドの 50%ユーザーは依然として脆弱です。どのアプリがこの権限を使用しているかは、「他のアプリの上に表示する」の設定で引き続き確認できます。

開発者の責任は、ユーザーのアクションがユーザーの完全な知識と同意を得て行われるようにすることです。Android では、そのためのビュー設定として、次のような設定が用意されています。 フィルタータッチがぼやけている場合。 これを有効にすると、ビューウィンドウが別の表示ウィンドウに隠れると、フレームワークは受け取ったタッチを破棄します。それだけ簡単なので、設定してください。 不明瞭になったらタッチをフィルタする true に設定すると、アプリはタップジャッキングから安全になります。

頑張って、また来週会いましょう！

許可リクエストの付与、購入、広告のクリックなど、ユーザーの十分な知識と同意を得た上でアクションが実行されていることをアプリケーションで確認できることが不可欠な場合があります。残念なことに、悪意のあるアプリケーションが、ビューの意図された目的を隠すことで、気づかないうちにユーザーを騙してこれらのアクションを実行させようとする可能性があります。

https://developer.android.com/reference/android/view/View.html