https://cysec148.hatenablog.com/entry/2025/09/02/061008

Hello there, ('ω')ノ

🧩 プロプライエタリSDKとは？

SDK（Software Development Kit）は、開発者がアプリに機能を組み込むために使う“部品”のようなもの。中でも「プロプライエタリSDK」とは、ソースコードや実装が非公開の外部ライブラリで、たとえば以下のようなものが該当します：

用途	例
課金処理	独自の決済SDK
認証連携	SNSログインSDK（例：LINE、Facebook）
広告表示	AdネットワークSDK
分析・追跡	アナリティクスSDK（例：Firebase Analytics）
配信・通知	プッシュ通知SDK（例：OneSignal など）

⚠️ なぜ危険なのか？

以下のようなリスクが潜んでいます：

リスクの種類	説明
通信の暗号化が不十分	利用者情報が外部へ平文送信されることも
情報の収集範囲が広すぎる	ユーザーの行動・端末情報を過剰に収集
古いバージョンの脆弱性	公開されていない脆弱性が含まれている場合あり
外部通信先が不明瞭	ブラックボックスな外部サーバーとのやりとり
アプリ全体への影響が大きい	SDKがクラッシュするとアプリごと落ちることも

🧪 診断での分析ポイント

✅ 1. SDKの存在を確認する

MobSFやjadx、APKToolなどで以下を確認：

classes.dex に含まれるパッケージ名（例：com.vendor.sdk.*）
AndroidManifest.xml の <service> や <receiver> に追加された設定
lib/ 以下の .so ネイティブライブラリ

✅ 2. SDKの通信を可視化する

ツール：Burp Suite + Frida

SSLピンニングを解除（記事52参照）
アプリ起動直後～操作中に出る通信先URLをチェック
URL例：

https://track.vendor.com/collect?device_id=xxxxx
https://ads.sdkprovider.com/click/…

→ 見慣れない通信先があれば要調査。

✅ 3. 機密データを送信していないか調査

device_id, email, location, contacts などの個人情報が平文 or 暗号化なしで送信されていないか？
Authorization ヘッダーなどが外部に漏れていないか？

Fridaでログ出力すると、暗号化処理前のデータも見えることがあります：

Java.perform(function () {
    var Cls = Java.use("com.vendor.sdk.Tracker");
    Cls.sendData.implementation = function (payload) {
        console.log("Tracking payload: " + payload);
        return this.sendData(payload);
    };
});

✅ 4. 権限（Permission）の濫用を確認

AndroidManifestで次のような権限が含まれている場合は要注意：

<uses-permission android:name="android.permission.READ_SMS" />
<uses-permission android:name="android.permission.ACCESS_FINE_LOCATION" />
<uses-permission android:name="android.permission.READ_CONTACTS" />

→ アプリ自体は使っていないが、SDKが勝手にアクセスしている可能性があります。

✅ 5. 公開情報から脆弱性の有無を調査

SDK名・バージョンを識別したら、CVE（脆弱性データベース）やGitHubのissueをチェック
例：vendor.sdk v1.2.3 に関するCVEがあればリスク要因

🧠 診断事例

あるアプリに含まれていた外部広告SDK（非公開）が、以下の問題を起こしていました：

通信先URLが HTTP（暗号化なし）
ユーザーの位置情報とメールアドレスを送信
READ_CONTACTS 権限を使って連絡先情報まで取得

→ 対応として、SDKのアップデート＋権限制限＋サーバー側フィルタリングが実施されました。

✅ まとめ

プロプライエタリSDKは“見えにくく危険”なブラックボックス
MobSFやFridaを活用し、通信内容・情報送信・動作権限を丁寧に洗い出すことが重要
特に、個人情報・セッション情報の外部送信は重大なセキュリティインシデントにつながる
分析後は、SDKのバージョン管理と適切な権限設計を開発側と共有しよう

Best regards, (^^ゞ