1

Charlesを使うとhttpsであろうとリクエストの内容が覗けてしまうという記事を読みました。
http://qiita.com/HIkaruSato/items/1f66c1a189bf9c19f838

ATSの設定はしてあるのですが、それでも覗けてしまうものでしょうか?
そうであれば対策できる方法があればご教授いただければ幸いです。

2 件の回答 2

4

Charlesなどのプロキシや中間者攻撃によるネットワーク通信の傍受を防ぐにはSSL Pinningという方法があります。
もしiOSアプリケーションの接続先が特定のAPIのみなど決まっているのであれば、SSL Pinningを用いてアプリケーション内で特定の証明書のみ有効であることを検証することでCharlesなど独自の証明書を用いた通信を失敗させることができます。

CharlesのドキュメントにもSSL Pinningが行われている場合にはSSLの通信は失敗する旨が書かれています。

Note that some apps implement SSL certificate pinning which means they specifically validate the root certificate. Because the app is itself verifying the root certificate it will not accept Charles's certificate and will fail the connection. If you have successfully installed the Charles root SSL certificate and can browse SSL websites using SSL Proxying in Safari, but an app fails, then SSL Pinning is probably the issue.

https://www.charlesproxy.com/documentation/faqs/ssl-connections-from-within-iphone-applications/

もちろんSSL Pinningを行うことのデメリットはあり、Pinningの方法にもよりますが、サーバ側で証明書をアップデートした場合は、クライアントもアップデートが必要であるとか、本来ユーザー側の権利として認められている通信内容の確認ができなくなるということも問題として言われています。

1

インフラ的な視点で回答します。

charlesは、端末(iPhoneなど)・ブラウザを代行して、
プロキシがSSLの複合・暗号化をする、というものです。

これは、一般的なプロキシでも同様の動作をすることができるため、
原則対策はありません。

このため、アプリケーション側ではキャプチャされても
可読できない情報とする、ワンタイムパスワードのような乱数と文字列を結合して
画面遷移をキャプチャしても再現できないようにするなどの工夫を行って、回避する形になろうかとおもいます。

4
  • 1
    Charlesは独自の証明書をiOSデバイスにインストールさせることで、中間者攻撃の手法を用いて通信内容の傍受を行っているので、「一般的なプロキシ」と同列視するのは正しくないように思います。
    – quesera2
    Commented 2016年8月7日 4:05
  • quesera2さん、ご指摘ありがとうございます。 表現が足りず、誤解を招く表現となり申し訳ありません。おっしゃるとおり同列視するのはおかしいと自分も認識しています。 インフラ的な・ミドルウェア的な対策というものは出来ず、アプリケーション側で何か対策を考えるべきではという認識です。
    – SSaka
    Commented 2016年8月7日 6:44
  • なるほど、「"ユーザーが意図して"パケット盗聴を行った場合、インフラ側では対策できない」が本旨なのですね。ATSが要求するTLS1.2以上の暗号スイートにおいて、"悪意ある第三者"が暗号化された内容を復号したり、リプレイ攻撃を仕掛けることはできないので、何の危険を想定されているのかなと思った次第です。
    – quesera2
    Commented 2016年8月7日 7:50
  • なるほど。ここは主旨がどちらかにより見る立場が変わるところですね。 悪意のある第3者をどこまで想定するのか、という論点になりそうな・・・ 手前味噌な回答で申し訳ないです
    – SSaka
    Commented 2016年8月7日 7:55

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。