XcInspector: Xcodeプロジェクトのセキュリティのために

XcInspectorは、Xcodeプロジェクトファイルに潜む可能性のあるセキュリティ問題をスキャンするためのmacOSアプリおよびコマンドラインツールです。

なぜ必要か？

Xcodeプロジェクトがセキュリティやプライバシーを侵害するために悪用される方法がいくつか存在します。

任意のスクリプトをプロジェクトに埋め込むことができ、特定のアクション（一般的な「Build」コマンドなど）が発生した際に自動実行されるように設定できる。
スクリプトがプロジェクトディレクトリ外のパスを参照する可能性がある。
実行可能ファイル／スクリプト／ライブラリをプロジェクトアーカイブに含めることができる。

このツールは、Xcodeプロジェクトに関するいくつかの既知のリスクを検出しようと試みる（保証するものではない）取り組みです。

注意: XcInspectorは、ソースファイル（Swift、Objective-Cなど）のコードに含まれるセキュリティ問題をスキャンすることはありません。それはこのプロジェクトの範囲を超えた別の関心事です。

インストール

XcInspectorは、macOS向けのアプリとコマンドラインツールの両方として提供されています。どちらも「アルファ」状態です。つまり、使用可能ではありますが、まだやや扱いにくく不完全な部分があります。

まだダウンロード可能なパッケージはないため、このプロジェクトのソースからXcodeを使ってコンパイルおよびビルドする必要があります。

プロジェクトとソースは XcInspector ディレクトリにあります。

ここでサブディレクトリを使用しているのは、ユニットテストとUIテストで使用されるサンプルファイル（TestSamples ディレクトリ）にXcodeプロジェクトファイルが含まれているためです。これには意図的に壊されたファイルも含まれます。それらをプロジェクトディレクトリに置くと、Xcodeが混乱します（身をもって学びました）。

アプリをビルドするには

Xcodeでプロジェクトを開きます。
「XcInspectorApp」スキームを選択します（Productメニュー -> Scheme -> XcInspectorApp）。
Productメニュー -> Build
コンパイルされたアプリケーションをDerivedData階層の奥深くで見つけます：
- XcodeのDerivedDataディレクトリ内（通常は ~/Library/Developer/Xcode/DerivedData
- XcodeProjectSecurity で始まるディレクトリがあり、その後に一見ランダムな文字列が続いているはずです。
- そのディレクトリ内で Build/Products/Debug に移動します
- そこに（他にも多くのものとともに）XcInspectorApp.app があるはずです
- それをApplications、Utilities、または配置したい任意のディレクトリにコピーします。

コマンドラインツールをビルドするには

Xcodeでプロジェクトを開きます。
「CommandLineToolRelease」スキームを選択します（Productメニュー -> Scheme -> CommandLineToolRelease）。
Productメニュー -> Build
コンパイルされたツールをDerivedData階層の奥深くで見つけます：
- XcodeのDerivedDataディレクトリ内（通常は ~/Library/Developer/Xcode/DerivedData
- XcodeProjectSecurity で始まるディレクトリがあり、その後に一見ランダムな文字列が続いているはずです。
- そのディレクトリ内で Build/Products/Release に移動します
- そこに（他にも多くのものとともに）実行可能な xcinspector ファイルがあるはずです。
- それを配置したい任意のディレクトリにコピーします（例：/usr/local/bin）。

使用方法

XcInspectorアプリ

Xcodeプロジェクトをスキャンするには、アプリの「File」メニューから「Open…」コマンド（⌘-O）を選択します。次に、Xcodeプロジェクトファイル（.xcodeproj）を含むディレクトリを選択し、「Open」ボタンをタップします。

レポートウィンドウが表示され、いくつの問題が見つかったか（もしあれば）を通知します。レポートウィンドウには、特定された各問題が一覧表示され、具体的なファイルと（該当する場合）問題が発生した行番号も含まれます。

xcinspectorコマンドラインツール

コマンドラインツールがアクセス可能な場所（/usr/local/bin など）にあることを確認してください。

ツール実行時に利用可能なオプションの説明を取得するには、次のコマンドを使用します：xcinspector --help

一般的に、特定のXcodeプロジェクトのレポートを取得するには、プロジェクトディレクトリまたはプロジェクトファイル（.xcodeproj）自体のパスを渡します。例：xcinspector /User/me/Projects/MyApp

結果のレポートはターミナル（stdout）に出力され、Xcodeの警告形式（filepath:linenumber:(error|warning|note):message）です。問題が見つからなかった場合、レポートは空になります（空行のみが出力されます）。

オプションで、レポートの最後にサマリーを含めることができます（問題が見つからなかった場合でも表示されます）。 xcinspector --stats path/to/project または xcinspector -s path/to/project

また、オプションで、見つかった問題の詳細情報を含めることもできます。（現在のところ、埋め込みスクリプトが見つかった場合にそのスクリプトのテキストを表示するだけです。） xcinspector --details path/to/project または xcinspector -d path/to/project

使用技術

macOS 14 Ventura（以降）
Xcode 15（以降）
SwiftUI
SwiftLint

法的情報

免責事項

このツールは、いくつかの潜在的なセキュリティリスクを特定するのに役立つ可能性がありますが、特定のXcodeプロジェクト、またはその派生物の安全性を決して保証するものではありません。

このソフトウェアを使用することにより、使用または共有するXcodeプロジェクトのセキュリティを確保する責任は専らあなた自身にあることに同意し、XcInspectorのすべての作者、貢献者、または配布者をいかなる責任または法的責任からも免除するものとします。

著作権

ライセンス

このプロジェクトのソースコードは、 Mozilla Public License, v. 2.0 の条件の下で提供されています。

ライセンスファイルはプロジェクトファイルに含まれています。

XcInspector

人気