Swiftのデシリアライズセキュリティ入門

著者

Sam Sanoop

2023年7月18日

0 分で読めます

デシリアライズとは、JSONやバイナリなどのシリアライズ形式のデータを、元の形式に戻す処理です。Swiftには、プロパティリストやJSON、その他のフラットなバイナリ表現との間でオブジェクトや値を変換できる複数のプロトコルが用意されています。

デシリアライズによって、ユーザーのコードベースに気づきにくいセキュリティ脆弱性が生じ、攻撃者に悪用される可能性もあります。このブログでは、広く使われているAPIのNScodingとNSSecureCodingを使用する際にSwiftで発生しうるデシリアライズの脆弱性と、それを適切に防ぐ方法について詳しく解説します。

NSCoding

NSCodingは、データのシリアライズとデシリアライズに使用できる、Appleが提供するプロトコルです。NSCodingでデータをシリアライズおよびデシリアライズする標準的な方法には、オブジェクト置換攻撃に対する脆弱性があり、攻撃者にリモートコード実行を許す可能性があります。

次のクラスは、initWithCoder:とencodeWithCoder:という2つのメソッドを実装してNSCodingに準拠しています。NSCodingに準拠するクラスは、シリアライズおよびデシリアライズして、ディスクに保存したりネットワーク経由で配布したりできるデータに変換できます。

1import Foundation
2
3class Employee: NSObject, NSCoding {
4    var name: String
5    var role: String
6
7    init(name: String, role: String) {
8        self.name = name
9        self.role = role
10    }
11
12    required convenience init?(coder aDecoder: NSCoder) {
13        guard let name = aDecoder.decodeObject(forKey: "name") as? String,
14              let role = aDecoder.decodeObject(forKey: "role") as? String else {
15            return nil
16        }
17
18        self.init(name: name, role: role)
19    }
20
21    func encode(with aCoder: NSCoder) {
22        aCoder.encode(name, forKey: "name")
23        aCoder.encode(role, forKey: "role")
24    }
25}

上記のクラスはNSCodingプロトコルに準拠しており、nameとroleという2つのプロパティを持ちます。また、アーカイブからnameとroleのプロパティをデコードするrequired init(coder:)イニシャライザーと、nameとroleのプロパティをアーカイブにエンコードするencode(with:)メソッドを実装しています。

次に、NSKeyedArchiverを使ってemployeeオブジェクトを作成し、ファイルにアーカイブできます。

1// Archive the Employee object to a file
2let person = Employee(name: "John", role: "consultant")
3let fileURL = URL(fileURLWithPath: "/tmp/file")
4NSKeyedArchiver.archiveRootObject(person, toFile: fileURL.path)

その後、NSKeyedUnarchiverを使ってファイルからemployeeオブジェクトを復元し、nameとroleのプロパティの値を出力できます。

1// Unarchive the Employee object from the file
2if let unarchivedPerson = NSKeyedUnarchiver.unarchiveObject(withFile: "/tmp/file") as? Employee {
3	print("Name: \(unarchivedPerson.name), Role: \(unarchivedPerson.role)")
4} else {
5	print("Failed to unarchive Employee object")
6}

次のような方法で悪用される可能性があります。コードベースに、次のクラスを含む他のクラスがあるとします。このクラスは、ファイルパスを表す文字列である「command」という単一のプロパティを持ちます。また、NSCodingプロトコルへの準拠に必要な「encode(with:)」と「init?(coder:)」という2つのメソッドも持ちます。

commandプロパティはエンコードされたオブジェクトから取得され、sink1関数に渡されます。この関数は、プロパティをコマンドの一部として実行します。

1import Foundation
2
3class ExampleGadget: NSObject, NSCoding {
4
5    let command: String
6
7    internal init(command: String) {
8        self.command = command
9    }
10
11    func encode(with coder: NSCoder) {
12        coder.encode(command, forKey: "command")
13    }
14
15    required init?(coder: NSCoder) {
16      command = coder.decodeObject(forKey: "command") as! String
17
18        super.init()
19        var result = sink1(tainted: command)
20        print(result)
21    }
22
23    func sink1(tainted: String) -> String {
24
25            let process = Process()
26            process.executableURL = URL(fileURLWithPath: "/bin/bash")
27            process.arguments = ["-c", tainted]
28            let pipe = Pipe()
29            process.standardOutput = pipe
30            process.launch()
31            process.waitUntilExit()
32            let data = pipe.fileHandleForReading.readDataToEndOfFile()
33            guard let output: String = String(data: data, encoding: .utf8) else { return "" }
34        return output
35
36}
37}

攻撃者はこのクラスを利用してコードを実行し、コマンドインジェクションにつながるデシリアライズ攻撃を仕掛けることができます。

NSSecureCoding

NSSecureCodingはNSCodingのセキュアな代替手段であり、デシリアライズ攻撃を防ぐための強化されたセキュリティ機能を備えています。NSCodingとは異なり、NSSecureCodingでは、定義されたクラス階層や、クラス自体に実装すべき特定のセキュリティ対策など、エンコードおよびデコードするオブジェクトに対してより厳格なセキュリティ要件が課されます。こうした対策により、悪意のあるコードを実行できるオブジェクトの作成につながるシリアライズ済みデータの改ざんを防ぎ、システム全体のセキュリティを高めます。ただし、使い方によってはデシリアライズ攻撃が発生する可能性があります。

クラス型を検証せずにデコードする

以下の例では、NSSecureCodingに準拠するようコードを変更しています。supportSecureCodingプロパティをtrueに設定し、以前と同様にdecodeObjectメソッドを使ってエンコードされたオブジェクトをデシリアライズします。

1import Foundation
2
3class Employee: NSObject, NSSecureCoding {
4
5    public static var supportsSecureCoding = true
6    var name: String
7    var role: String
8
9    init(name: String, role: String) {
10        self.name = name
11        self.role = role
12    }
13
14    required convenience init?(coder aDecoder: NSCoder) {
15        guard let name = aDecoder.decodeObject(forKey: "name") as? String,
16              let role = aDecoder.decodeObject(of:Employee.self, forKey: "role") as? String else {
17            return nil
18        }
19
20        self.init(name: name, role: role)
21    }
22
23    func encode(with aCoder: NSCoder) {
24        aCoder.encode(name, forKey: "name")
25        aCoder.encode(role, forKey: "role")
26    }
27}

しかし、Appleの開発者向けドキュメントのNSSecureCodingに記載されているように、この手法は安全でない可能性があります。クラス型を検証する時点では、オブジェクトはすでに構築されており、コレクションクラスの一部であれば、オブジェクトグラフに挿入されている可能性もあるためです。supportsSecureCodingをtrueに設定すると、オブジェクトはデコードしても安全であると示されます。しかし、NSSecureCodingは、このオブジェクトの型や、それが該当するemployeeクラスに関連するかどうかを検証しません。

この問題を修正するには、ofキーをdecodeObject(of:Employee.self, forKey: "name")のように指定します。これにより、指定したクラス（この場合はemployee）のオブジェクトのみがデコードされます。そのため、nameプロパティは文字列としてのみデコードされ、悪意を持って作成されたオブジェクトとしてデコードされることはありません。また、decodeObjectOfClassメソッドを使うと、指定したクラスに制限してキーのオブジェクトをデコードできます。さらに、この問題の影響を受け、Appleによって非推奨とされているdecodeObjectForKeyメソッドとdecodeTopLevelObjectForKeyメソッドは使用しないでください。

supportsSecureCodingをFalseに設定

Appleの開発者向けドキュメントに記載されているように、セキュアコーディングをサポートするクラスを作成する場合は、このクラスプロパティのゲッターがtrueを返すようにしてください。supportsSecureCoding = falseに設定してもNSSecureCodingには準拠しますが、開発者に誤った安心感を与え、デシリアライズ攻撃を可能にしてしまいます。

Swiftで安全にデシリアライズする

まとめると、NSCodingやNSSecureCodingを使ってユーザーデータをデシリアライズする際は、セキュリティ上の考慮が必要です。ドキュメントからは、NSSecureCodingがデフォルトでデシリアライズ攻撃を防ぐように見えるかもしれませんが、実際はそうではなく、安全でないデシリアライズが依然として可能なケースがあります。NSSecureCodingでデコード関数を使用する際は、デシリアライズされるオブジェクトの型が検証されていることを必ず確認してください。