Replit（レプリット）は、セキュリティーサービスにブラックボックスペネトレーションテストを追加したと発表した。これにより、プラットフォーム上でホストされているアプリを、外部攻撃者と同様の方法で外部から調査することが可能になる。同社はこの新機能を、ソースコードを分析する既存のホワイトボックスセキュリティースキャンを補完するものと位置付け、この2つのアプローチを組み合わせることで、アプリの脆弱性をより包括的に把握できるとしている。
発表によると、従来型のローンチ前ペネトレーションテストは、多額の費用と長期間の調整を要する外部ベンダーの雇用が必要だったが、今回の新機能は、実際の顧客データを扱うアプリを短期間でローンチできるクリエイター向けに、そのプロセスを迅速化することを目的としている。Replitはこの変更を、AIやウェブアプリを扱うより幅広い世代の開発者がセキュリティーにアクセスしやすくするための取り組みの一環として位置付けている。
Replitによると、レベル3スキャンはプロジェクトのSecurity Centerから開始でき、コードベースへのフルアクセスが可能なホワイトボックススキャンと、アプリの公開リンクのみが与えられるブラックボックススキャンの2つのスキャンが並行して実行される。同社によれば、どちらのスキャンもプライベートサンドボックス内のアプリケーションの完全なコピーに対して実行されるため、スキャナーによるアクションが実際のユーザーに影響を与えることはない。ブラックボックスエージェントは、ブラウザーを介してアプリを操作し、ページをクリックして全てのリクエストを記録し、機能（リンクされていないエンドポイントを含む）をマッピングし、アプリのスタックを推測し、その構成に共通する脆弱性を標的にする。
同社は、ブラックボックス処理は2回実行されると説明した。1回目は匿名訪問者として、どのユーザーがアクセスできるかを確認し、2回目は通常の認証済みユーザーとして、他のユーザーのデータや管理者専用エリアへの不正アクセスがないかを確認する。Replitによると、スキャン結果は、開発者がReplit Agentで対処できる、確認済みの問題点を簡潔にまとめたリストとして返される。
Replitは、ホワイトボックススキャンとブラックボックススキャンの結果は異なる傾向があると報告した。同社は、ホワイトボックススキャンでは、アプリがサインインの再検証に失敗したために機能し続けた取り消されたユーザーセッションなど、微妙な論理的欠陥が特定されたのに対し、ブラックボックススキャンでは、ログインなしで推測可能なURLにある管理者ダッシュボードや、アクティブなマッチをクラッシュさせる可能性のあるマルチプレーヤーゲームのエンドポイントなど、操作によってのみ明らかになる脆弱性が発見された例を挙げた。Replitは、これらを、深い論理エラーと鍵のかかっていない扉という、異なるカテゴリーのリスクとして捉え、それぞれ異なる検査アプローチが必要だと説明した。
この発表では、新しいブラックボックス機能とReplit Auto-Protectの既存の保護機能との連携も示されており、悪意のあるパッケージのファイアウォール、WAFファイアウォール、SSL/TLS暗号化がプラットフォームのセキュリティースタックの一部として挙げられている。Replitは、アドホックスキャンの3つの階層を概説した。レベル1（依存関係チェックと静的分析、無料提供）、レベル2（詳細なホワイトボックススキャン）、レベル3（ホワイトボックススキャンとブラックボックススキャンの両方）。ユーザーはSecurity Centerからレベル3のスキャンを実行でき、詳細はReplitウェブサイトでも確認できる。
出典：Replit
この製品の詳細については、Replit製品ページをご覧ください。
