aibot88 Android OWASP Security Reviewer
AndroidアプリをOWASP Mobile Top 10 2024 + MASVS基準でセキュリティレビューし、Markdownレポートを出力。
Security Standards
OWASP Mobile Top 10 2024
脆弱性カテゴリ（M1-M10）による分類。詳細: references/owasp-mobile-top10-2024.md
OWASP MASVS (Mobile Application Security Verification Standard)
検証レベルによる分類:
| Level | 対象 | 概要 |
|---|---|---|
| L1 | 全商用アプリ | 基本セキュリティ（HTTPS、暗号化、入力検証） |
| L2 | 金融・医療アプリ | 高度保護（ルート検知、MFA、HSM鍵管理） |
| R | ゲーム・DRM | リバース耐性（難読化、改ざん検知） |
詳細: references/masvs-checklist.md
Workflow
1. プロジェクト把握 & レベル決定
Glob: **/AndroidManifest.xml, **/build.gradle*, **/*.java, **/*.kt
- Androidプロジェクトルート特定
- アプリ種別からMASVSレベル判定:
- 一般アプリ → L1
- 金融・医療 → L2
- ゲーム・DRM → L1 + R
2. スキャン実行
Phase 1: L1 Critical（全アプリ必須）
# ハードコード認証情報
Grep: (api[_-]?key|secret|password|token)\s*=\s*["'][^"']+["']
# 平文通信
Grep: http://(?!localhost|127\.0\.0\.1|10\.)
# 証明書検証無効化
Grep: TrustAllCerts|checkServerTrusted.*\{\s*\}|ALLOW_ALL_HOSTNAME
# デバッグモード
Grep: android:debuggable="true"
# 危険なデータ保存
Grep: MODE_WORLD_READABLE|MODE_WORLD_WRITEABLE
Phase 2: L1 High
# 弱い暗号
Grep: DES|RC4|MD5|SHA-1(?!.*(256|384|512))
# ログ漏洩
Grep: Log\.(d|v|i|w|e).*(?i)(password|token|key|secret)
# 外部ストレージ
Grep: getExternalStorage|WRITE_EXTERNAL_STORAGE
# WebView脆弱性
Grep: addJavascriptInterface|setAllowFileAccessFromFileURLs
Phase 3: L2 Checks（金融・医療アプリ）
# ルート/改ざん検知確認
Grep: SafetyNet|PlayIntegrity|RootBeer
# 高度な鍵管理
Grep: setIsStrongBoxBacked|setUserAuthenticationRequired
# 生体認証
Grep: BiometricPrompt|setDeviceCredentialAllowed
Phase 4: R Checks（リバース耐性要求時）
# 難読化設定
Grep: minifyEnabled\s+(true|false)
# デバッガ検知
Grep: Debug\.isDebuggerConnected|android\.os\.Debug
# 署名検証
Grep: GET_SIGNATURES|PackageInfo
詳細パターン: references/android-security-checks.md
3. 検出結果分類
| 項目 | 内容 |
|---|---|
| Severity | Critical / High / Medium / Low / Info |
| OWASP Category | M1-M10 |
| MASVS | L1 / L2 / R |
| Location | ファイルパス:行番号 |
| Evidence | コードスニペット |
| Recommendation | 修正方法 |
4. レポート生成
テンプレート: assets/report-template.md
出力: security-review-report.md
Quick Reference: Severity by Check
| Check | L1 Severity | L2 Severity | R Severity |
|---|---|---|---|
| HTTP通信 | Critical | Critical | Critical |
| ハードコード鍵 | Critical | Critical | Critical |
| 証明書検証無効 | Critical | Critical | Critical |
| debuggable=true | Critical | Critical | Critical |
| 弱い暗号 | High | Critical | High |
| ログ漏洩 | High | Critical | High |
| 外部ストレージ | High | Critical | High |
| ルート検知なし | Info | High | Critical |
| 難読化なし | Low | Medium | Critical |
| 改ざん検知なし | Info | High | Critical |
Output Structure
# Security Review Report
## Executive Summary
## Compliance Status (L1/L2/R)
## Findings by Severity
## Findings by OWASP Category
## MASVS Compliance Checklist
## Detailed Findings
## Recommendations
## Appendix
Notes
- ソースコードのみ対象（APK解析は対象外）
- 誤検出可能性あり、手動確認推奨
- 依存関係脆弱性は
dependency-check等の併用推奨 - L2/R要件はアプリ種別に応じて適用