SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

インターネットを、ウェブサイトが人気のショップであるような、巨大で賑やかな街だと想像してみてください。この街には、Progressive Web App (PWA) と呼ばれる特別な種類のショップがあります。PWAは、アプリストアからダウンロードする専用アプリと全く同じように見え、感じられる魔法の storefront（店頭）のようなものだと考えてください。ただし、それはブラウザの中で完全に機能しており、インストールする必要はありません。ただそのウェブサイトを訪れるだけで、オフライン時や通知の送信時でも、ネイティブアプリのように動作します。これらのウェブショップをより本物の建物のように感じさせるために、開発者は Trusted Web Activity (TWA) というツールを使用します。これは、スマートフォンのホーム画面からブラウザのアドレスバーを見ることなく、直接PWAへと歩いて入れる特別な「ガラスのトンネル」のようなもので、体験をシームレスで安全なものにします。

しかし、実際の街と同じように、誰もが善良な市民であるとは限りません。一部のトラブルメーカーは、これらの人気ショップの偽物を作ろうとします。彼らは本物のPWAのアドレスを利用して、それを偽のアプリの中に包み込み、ユーザーに売りつけることができます。一度中に入ってしまうと、悪党たちは自分たちの広告を忍び込ませてお金を稼いだり、個人の情報を盗んだり、あるいは危険な場所に誘導したりすることができてしまいます。これが「不正な複製（unauthorized replication）」という問題です。研究者たちが投げかけている大きな疑問は、「どうすれば、本物のオーナーたちに複雑すぎる負担をかけることなく、お気に入りのウェブショップをこれらの模倣品から守ることができるのか？」ということです。

ここで、論文 「SPARE - STARE」 が登場します。ジョージ・ワシントン大学とノーザン・イリノイ大学の研究チームである著者たちは、これらのProgressive Web Appを保護するための、巧妙なセキュリティガード・システムを提案しています。彼らは、電話とウェブサイトの間で通信するための既存の方法（PostMessage という双方向のトランシーバーのようなもの）がいくつか存在するものの、それらはしばしば重すぎたり、複雑すぎたり、壊れやすかったりすることに気づきました。その代わりに、彼らはより軽量でシンプルな、一方通行のメッセージング・アプローチを採用することにしました。

彼らの解決策である SPARE-STARE は、少し動的な暗号化チケットのように機能します。彼らのシミュレーションにおける仕組みは以下の通りです。

1. チケット: ユーザーが正当なアプリを開くと、スマートフォンは単にリンクを送るだけではありません。末尾に秘密の暗号化された「チケット」を含む特別なURL（ウェブアドレス）を作成します。このチケットには、2つの非常に重要な情報、すなわちタイムスタンプ（リンクが作成された正確な時刻）と、デバイスID（特定のスマートフォンの固有の指紋）が含まれています。
2. ガードマン: ウェブサイトは門番として機能します。リクエストが入ってくると、門番はチケットをチェックします。まず、時間はチェックされます。もしチケットが古すぎる場合（彼らのケーススタディで1時間という制限時間を超えた場合）、門番は「ダメだ、そのチケットは期限切れだ！」と言います。これにより、悪党がリンクをコピーして後で利用することを防ぎます。
3. 指紋: 次に、門番はデバイスIDをチェックします。もし同じスマートフォンが同じチケットを何度も使用しようとしたり、あるいは同じデバイスIDから大量のリクエストが一度に押し寄せたりした場合、門番は何か怪しいことが起きていると判断し、ブロックします。

研究者たちは、このアイデアをテストするために、シミュレーションされた街を作成しました。彼らは、ユーザーが1日に25回から45回のリクエストを行う、実在の人々のアプリ利用を模したデータセットを構築しました。そして、コンピュータ・シミュレーションの中で、このセキュリティシステムをさまざまなタイプの「悪党」と対決させました。

• アマチュア: 単にウェブサイトのアドレスをコピーしようとしました。これは、リンクに秘密のチケットが含まれていなかったため、即座に失敗しました。
• 標準的な攻撃者: ブラウザの履歴から盗んだチケットを使用しようとしました。これは、チケットがすぐに期限切れになった（1時間のウィンドウ内）か、あるいはサーバーが同じデバイスIDによる同じリンクの複数回の使用を検知したため、失敗しました。
• 洗練された攻撃者: これは非常にトリッキーなものでした。悪党は、新しいチケットを絶えず生成するために最大30台のデバイスを使用し、「ラウンドロビン」方式（特定のデバイスが不審に見えないようにチケットを回していく方法）を用いて、偽のアプリのユーザーにチケットを配布しました。

このようなスマートな攻撃者に対しても、SPARE-STAREシステムは強固でした。シミュレーションにおいて、悪党たちが複数のデバイスを使用してシステムを回避しようとした際も、セキュリティガードは大量の不正なトラフィックを拒否し続けました。例えば、300人のユーザーと30台の攻撃用デバイスがあるシナリオでは、ルールの厳格さに応じて、システムは悪意のあるリクエストの**88%から97%**を正常にブロックしました。

この論文は、この手法がPWAを保護するための有望で軽量な方法であることを示唆しています。これは他の手法のような重くて複雑なセットアップを必要とせず、攻撃者が複数のデバイスを使って巧妙に動いた場合でもうまく機能します。しかし、著者たちは、これはあくまでシミュレーションとプロトタイプに基づいたものであり、まだ何百万台ものスマートフォンへの実世界での展開段階ではないことを注意深く述べています。また、もし攻撃者が膨大な数の物理デバイスを保有している場合、依然として通り抜ける方法を見つけ出す可能性があること、そして、アプリを頻繁に使う正直なユーザーを誤ってブロックしないように、システムを慎重に調整する必要があることも指摘しています。

要約すると、SPARE-STAREは、すべてのウェブリンクに一意で、時間制限があり、デバイス固有の「IDカード」を与えることで、模倣品がアプリを盗むことを非常に困難にし、デジタル都市をすべての人にとって安全にできることを示唆しています。