問3 スマートフォン用アプリケーションプログラムの開発

JPCERTコーディネーションセンター及びIPAが運営する脆弱性対策情報ポータルサイト“JVN（Japan Vulnerability Notes）”には，国内企業が開発したスマートフォンアプリケーションプログラムの脆弱性が公表されている。 本問では，スマートフォン用アプリケーションプログラムの脆弱性を題材として，脆弱性への対策の能力を問う。

問3では，スマートフォン用アプリケーションプログラム（以下，スマホアプリという）を題材に，脆弱性，それを悪用した攻撃手法及びその対策について出題した。全体として正答率はやや低かった。 設問1(3)は，正答率が低かった。クラウドストレージサービスのアクセスキーを不正利用することによって，ストレージ上の全利用者の写真をダウンロードする具体的な方法を問う問題であったが，抽象的な解答が散見された。設問文をよく読んで解答してほしい。 設問2(3)は，正答率が低かった。プライベート認証局のルート証明書を端末にインストールすることによって，サーバ証明書の検証エラーを解消させる方法を問う問題であった。同様の方法は，ネットワーク機器のTLSインスペクション機能などでも利用されるので，理解してほしい。 設問3は，正答率が平均的であった。署名付きURLの適切な生成場所を解答させる問題であったが，攻撃者による解析が容易なスマホアプリ上という解答が散見された。秘密情報の処理をサーバ上で完結させ安全を確保する実装は，クライアントサーバ型でも採用される基本的な方法なので，理解してほしい。