アプリ解析からサーバIPアドレスの特定は可能か

Question

最近、androidアプリとPC(サーバ)の送受信が可能なシステムを作成しておりまして、
そこでふと疑問に思った事があります。
例えばサーバに接続できるandroidアプリをリリースした場合、
アンドロイドアプリのapkファイルを解析する事でサーバのIPアドレスを特定され、
サーバが攻撃を受ける事があるのでは？と思いました。
しかし、流石にそれ位システムの運営者は理解しているはずですよね。
であればどの様にしてIPアドレスを隠す？androidアプリから確認出来ない様にしているのでしょうか？それとも、サーバ自体に特定されても問題ない様な工夫(ファイヤーウォールなどで不正アクセスを遮断など？)が施されているのでしょうか？
調べてもそれらしい情報が無かった為、どなたかご教授頂けないでしょうか。

Answer 1

apkファイルを解析しなくても、アプリを動かして通信をキャプチャすれば、サーバのIPアドレスは容易にわかります。なので、サーバーを特定されても問題ないように対策します。ファイアウォールもその一つですが、公開ウェブサイトと同様の対策というのがシンプルな説明になるかと思います。

Comments

[Syu2B]

ご回答ありがとうございます。
公式WEBサイトと同様の対策なんですね。
理解しやす言葉選びありがとうございました。

Answer 2

ちょうどナウな実例でSmooz（サービス終了済み）があります。

つい最近、事件がありましたが、「これ、データ送信してない？」となったのも、アプリがどこに対してリクエストを行っているかを解析した結果の事です。詳細は、こちらの記事を見ていただくとわかりやすいかと思います。リンク先はiOSの画面ですが、Androidも同様のアプリを用いればプログラムなんて見なくても簡単に解析できます。

補足

念のために補足しておきます。
私は「Smoozの外部へのデータ送信の問題が...」といった理由で、当該話題・リンクを出したわけではありません。
ただ単純に最近の話題でそういったことが行われた。という理由で出しているだけです。特に深い意図はありません。

Comments

[tanat]

そういえばこれはiOSでの解析でしたね。
（読んでたはずなのに）JailbreakしてなくてもセルフMITM出来るのは知りませんでした。

[kyoya0819]

これ、MITMしてるんですか・・・
てっきりVPNあたりに繋いで何かやってるのかと思いました。。

[tanat]

VPNであってもHTTPSだと通常は通信内容までは見えないので、
MITM出来るProxyアプリなんだと思います。

[kyoya0819]

たしかに、通信内容を表示している箇所ありました。
Appleのようなセキュリティだけが売りの会社が、許可するのは意外でした（言い方）

Answer 3

求めているのは「認証/認可」の話になると思います。
これらのキーワードを入り口に学習を進めてください。

Answer 4

であればどの様にしてIPアドレスを隠す？androidアプリから確認出来ない様にしているのでしょうか？

隠せません。

アンドロイドアプリのapkファイルを解析する事でサーバのIPアドレスを特定され、

サーバが攻撃を受ける事があるのでは？

仮にhttps通信でのAPIを用意したとすると、悪意ある利用者からは通常のWEBサービスと同じように攻撃を受けます。またアプリ利用者でなくても公開されている時点でサーバーに辿り着くことは出来るのでアプリと関係無く攻撃を受けます。

アプリ利用者が不正にパラメーターなどのデータを書き換えるセルフMITMみたいな攻撃を想定しているのなら、SSLにしてリクエスト内容を検証する作りにするだけで防げます。SSLは基本劇に鍵が漏れなければ解析出来ません。

Comments

[tanat]

> SSLにしてリクエスト内容を検証する作りにするだけで防げます。SSLは基本劇に鍵が漏れなければ解析出来ません。

昔のAndroid(6以前だったかな)やrootedな端末だと、MITMなProxyの証明書を端末にインストールすれば出来ちゃいますね

[hentaiman]

Androidだとそんな方法あったんですね、知らなかった

[tanat]

PCだと割とある環境ですね(セルフMITMなプロキシで通信内容監視)
iOSでもJailbreakしたり、Appleから開発用に提供されるrooted端末ならできそうな気がします

Answer 5

サーバ自体に特定されても問題ない様な工夫(ファイヤーウォールなどで不正アクセスを遮断など？)が施されているのでしょうか？

この考えが正しいです。
Androidアプリからのアクセスであっても、webアプリケーションであっても、インターネットを経由して通信をするような仕組みの場合はIPアドレスを隠蔽する=通信できないとなってしまうため、IPアドレスが公開されている前提で対策を行います。

---

追記すると、
そのサービスで使用しているIPアドレスがどこにも公開されていない状態（例えばAWSでサーバを立てた瞬間）であっても、クラウドベンダー等の所有するIPアドレスの範囲を頼りに攻撃を受けるのはよくある事です。
そのため、インターネットにサーバが公開された時点では対策が完了している必要があるというのが一般的なものとなっています。

Comments

[Syu2B]

ご回答ありがとうございます。
非常に分かりやすかったです。