AppleScriptセキュリティ実践ガイド
- Digital3,000 JPY
macOS上の各種機能を自由に呼び出せて、GUIベースのアプリの機能や情報を呼び出せる強力なAppleScriptは、ソースコードが読めない実行専用形式で、Scriptやアプレットとして公開可能です。 しかし、「暗号化済み」のように見える「実行専用形式」で保存されていたとしても、実際にはApple Events Codeという命令列の形で格納されており、文字列に関してはターミナル上でhexdumpやstringsコマンドによるダンプ出力が可能です。 さらに、昨今ではApple Events Codeそのものをダンプ（＝内部の命令構造を可視化）するツールが登場。防衛用のツールですが、攻撃側もこれを利用できる状態にあります。 本書では、Apple Events Codeのダンプツールによってどのような情報が「抜かれ」、それらが実際にどのように見えるのかを詳細に検証します。その上で、想定されるリスクと防止策を提示し、AppleScriptを安全に活用するための基礎資料としてご活用ください。 PDF 562ページ＋添付Zipアーカイブ
目次
1章 「実行専用」は安全なのか？ AppleScriptの概要と機能のひろがり／実行プログラムのひろがり／システム設定による機能制限／ヘックスダンプや文字ダンプで得られる情報／Apple Events関連の参考資料／コラム 本書掲載のAppleScriptリストの構文色分け設定について 2章 AppleScriptアプレットの構造 スクリプトエディタでアプレットを作成／書き出したアプレットの内部構造を追う／クラシックOS時代のアプレットのscptリソースの内容と比較 3章 Apple Eventダンプによる情報抽出 アップルスクリプトの完全なデコンパイルは無理／あくまでApple Events Codeとして解釈して読みやすくする／applescript-disassembler／aevt_decompile／統合分析ツールas_disassem+decompile／strings／hexdump 4章 実行専用スクリプトから漏れる情報の実態 Apple Events Code上で各データ型がどう見えるか？／プログラムの複雑さを変更して結果を調べる／アルファベット＋数字／日本語の文字列／絵文字の文字列／真偽値／整数値／実数値／dateオブジェクト／数値のリスト（配列）／文字列のリスト（配列）／レコード／アプリケーションのオブジェクト／Xcodeで開発したAppleScrIptObjCアプリ 5章 情報漏洩をふせぐ技術的手法 安直なダンプで見えない形式でユーザー名やパスワードを記述／キーチェーンに情報を保存して内容を取り出すにしてもアクセス用キーワードは必要／データ暗号化の基礎①シフト暗号／データ暗号化の基礎②暗号表による換字式暗号／データ暗号化の基礎③多表式暗号と鍵のしくみ（ヴィジュネル暗号）／データ暗号化の基礎④「鍵」をさらに安全・自動的に扱う仕組みをもつOpenSSLによる現代暗号／プログラム難読化①データ形式変更／プログラム難読化②変数名絵文字置換／プログラム難読化③構造高度化 6章 安全な配布のための設計指針 アップルスクリプトの配布形態とかけられる労力の違い／配布時に最低限でもコード署名が必要。そのために開発者登録も必須／習熟のために経験しておきたいアプレットのオンライン配布 7章 AppleScriptのセキュリティ再考 最近発生したAppleScriptがらみの諸問題はメモリリーク／ユーザー名やパスワード、APIキーをスクリプト内に平文で記録すると危険／かつては可能だったアプリとAppleScript間の通信傍受もいまや不可能に／ネットワーク経由の操作は、途中で傍受される危険性も／AppleScript実行ツールで、埋め込みテキストのスクリプトを設定ファイルに平文保存？ 8章 Apple Events Codeダンプ分析資料 全予約語を含む記述例を実行専用状態でApple Events Codeダンプ 9章 ダンプ結果から見る情報露出傾向と対策 コマンド、記述方法、データ型から読み解く露出傾向／script objectによるダンプ対策が有効／「OSAMiner事件」から再考されたAppleScript環境におけるセキュリティ対策／コラム 本書作成のために作成・使用したAppleScript