performing-cryptographic-audit-of-application

アプリケーションの暗号監査の実施

概要

暗号監査では、アプリケーションにおける暗号プリミティブ、プロトコル、鍵管理の使用状況を体系的に確認し、脆弱なアルゴリズム、安全でないモード、ハードコードされた鍵、エントロピー不足、プロトコルの設定ミスなどの脆弱性を特定します。このスキルでは、Python ファイルと設定ファイルをスキャンして、一般的な暗号の弱点を検出する自動暗号監査ツールの構築について説明します。

使用する場面

• アプリケーションの暗号監査を含むセキュリティ評価を実施するとき
• 関連するセキュリティイベントのインシデント対応手順に従うとき
• 定期的なセキュリティテストや監査を実施するとき
• 実地テストを通じてセキュリティ制御を検証するとき

前提条件

• 暗号に関する概念とツールに精通していること
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に対する適切な承認

目標

• 非推奨のアルゴリズム（MD5、SHA-1、DES、RC4）の使用を検出する
• 安全でない暗号モード（ECB）とパディング方式を特定する
• ソースコード内のハードコードされた鍵、パスワード、シークレットを検出する
• TLS/SSL 設定の強度を検証する
• 鍵導出関数のパラメーターを確認する -乱数生成器の使用状況を検証する
• 検出結果と修正方法を含む構造化された監査レポートを作成する

主な概念

暗号の弱点のカテゴリ

カテゴリ	例	リスクレベル
脆弱なハッシュ	整合性確認／署名での MD5、SHA-1	高
安全でない暗号化	DES、3DES、RC4、Blowfish	高
不適切な暗号モード	任意のブロック暗号での ECB モード	高
鍵サイズ不足	RSA < 2048、長期利用での AES-128	中
ハードコードされたシークレット	ソースコード内の鍵／パスワード	重大
脆弱な KDF	反復回数の少ない PBKDF2、平文の MD5	高
エントロピー不足	時刻ベースのシード、予測可能な IV	高
非推奨のプロトコル	SSLv3、TLS 1.0、TLS 1.1	高

セキュリティに関する考慮事項

• アプリケーションコードと設定ファイルの両方を確認する
• サードパーティ製の依存関係に既知の暗号脆弱性がないか確認する
• デプロイ済みサーバー上の証明書と TLS 設定を検証する
• シークレットが環境変数または保管庫から読み込まれるようにする
• 鍵の保管とローテーションの運用を確認する

検証基準

• スキャナーが注入されたテスト用の弱点をすべて検出する
• セキュリティ目的での MD5／SHA-1 の使用にフラグを立てる
• ECB モードの使用にフラグを立てる
• ハードコードされた鍵／パスワードを検出する
• 脆弱な KDF パラメーターを特定する
• レポートに深刻度、場所、修正方法が含まれる
• 誤検知率が 10％未満である