動的情報フロー追跡

近年、電子商取引の拡大や公的な手続きの電子化に伴い、個人のコンピュータを利用しての個人情報の取り扱いはその頻度を爆発的に増加しながらも、そこで扱われている情報は決して漏洩していいものではなくなってしまっている。

機密情報を漏洩させないための考え方として「怪しいプログラムやユーザを機密情報に触れさせない」という考え方がかつては一般的であったが、インジェクションアタックなどのシステムの脆弱性を突くような攻撃が多数みられる昨今においては十分ではない。そこでその脆弱性を塞ぐ目的で、動的情報フロー追跡(DIFT)が注目されている。DIFTを用いれば、外部からの攻撃かもしれないコードがSQLクエリに紛れ込むのを追跡することに加え、複数の悪意あるアプリケーションを経て暗号化された機密情報が外部へと送信されようとすることすら検出することができる。

現在では、プロセスベースでのDIFTの機構をAndroid OSに組み込み、スマートフォンからの個人情報流出を検出する機構を提案、これを実装した。この手法は近年に問題となったネイティブライブラリの脆弱性を突かれても迂回されず、また速度面においてもごく僅かなオーバーヘッドしか生じないことを示している。