Androidセキュリティ— GoogleのAdrian LudwigのQ&A

最近、Androidデバイスのセキュリティについて多くのことを話してきましたが、会話が続くにつれて、より大きな権限を持つ人が答える必要のある質問が明らかになりました。携帯電話にウイルス対策ソフトウェアが必要かどうか、マルウェアを特定すること、日常的に使用することでデバイスが一般に安全であることを確認することなどは、不必要に濁っています。 Androidユーザーを悪用するために作られたすべてのソフトウェアについて私たちに伝えている一見際限のない記事のせいでこれを非難することができますが、Androidのセキュリティに関しては、単純で単純ではない正当な質問もいくつかあります答えます。

これに対処するため、ソースに直接アクセスしました。 GoogleのAndroidセキュリティのリードエンジニアであるAdrian Ludwigは、私たちが探していた答えをメールで送信するのに少し時間をかけました。

：Androidセキュリティ-GoogleのAdrian LudwigによるQ&A

Googleの役割

Q：GoogleはAndroidユーザーをどのように保護しようとしていますか？

Ludwig：複数のセキュリティ層を使用してAndroidを設計しました-デバイスハードウェア機能（Trustzone、NX）から始まり、オペレーティングシステム（アプリケーションサンドボックス、SELinux、ASLR）、Googleが提供するアプリケーションとサービス（Google Play、Device Manager、アプリの確認など）。また、サードパーティがセキュリティソリューションを提供できるようにすることで、セキュリティの革新を奨励しています。

最近のモバイルデバイスが直面している最も差し迫ったセキュリティの脅威は次のとおりです。1.紛失および盗難デバイス（ロック画面、デバイス暗号化、Androidデバイスマネージャーなどの保護を提供）2.ネットワークレベルの攻撃（Androidが暗号化サービスを提供して公開デフォルトではリスニングサービスを持たないことによる最小の攻撃対象領域）3.潜在的に有害なアプリケーション（Androidアプリケーションサンドボックス、Google Playアプリケーションのレビュー、およびアプリの検証はすべて設計されています）

新しい潜在的な脅威について耳にするとき、私たちはそれを将来の計画と設計に組み込み始めます。

サポートポリシー

Q：Googleは、オペレーティングシステムで発見されたセキュリティ脆弱性などのサポートをどのくらい提供しますか？

Ludwig： Androidセキュリティのサポートポリシーに対する私たちのアプローチは、実際にユーザーに配信されると思われるすべての場所に更新プログラムを提供し、セキュリティを向上させることです。実際には、これは、潜在的なセキュリティ問題に対して複数の異なるタイプのサポートを提供することを意味します。

Chrome、Gmail、Google Play、または任意の数のGoogleアプリケーションを更新することで問題を解決できる場合は、各アプリケーションが利用可能なすべてのAndroidバージョンに戻る方法で問題を解決します。
Google NexusデバイスとGoogle Play Editionデバイスは、定期的にセキュリティアップデートをタイムリーに受信します。
Android Open Source Project（AOSP）でAndroidの現在のブランチにパッチを提供し、Androidパートナーにオペレーティングシステムの少なくとも最後の2つのメジャーバージョンのパッチを直接提供します。現在、Android 4.3以降をカバーするセキュリティ問題のバックポートを提供しています。 Android 4.3のWebKitは1つの例外です。 Android 4.4以降では、バイナリアップデートとしてサポートされています。それでも、OEMが古いバージョンのプラットフォームを実行しているデバイスのパッチの開発で支援を要求し、そのパッチをOTAとしてデバイスに配信することを約束した場合、サポートを提供します。
可能であれば、GoogleのAndroid向けセキュリティサービスも更新し、OEMが引き続きサポートしているかどうかに関係なく、すべてのAndroidデバイスに追加の保護層を提供します。これには、潜在的に有害なアプリケーションやその他のセキュリティ動作の確認が含まれます。
また、アプリケーション開発者に情報とツールを提供し、潜在的なセキュリティ問題からアプリケーションを保護します。これには、デバイスOTAなしでGoogleによって更新可能な更新可能なセキュリティプロバイダーなどのGoogle Play Services内のAPIの提供が含まれます。また、OEMが引き続きサポートしているかどうかに関係なく、すべてのAndroidデバイスでアプリケーションが安全に動作することを開発者が確認できるようにするベストプラクティスも提供しています。最近、Googleは潜在的なセキュリティ脆弱性についてGoogle Playのアプリケーションをスキャンし、それらの脆弱性が検出されたときに開発者に通知し始めました。
最後に、重要なこととして、セキュリティの問題に関する情報（修正および既知の悪用に関する情報を含む）をAndroidパートナーと共有して、問題の更新を受信していないデバイスに関連するリスクなど、問題を理解していることを確認します。これには、互換性テストスイートに潜在的なセキュリティ問題のテストを追加して、OEMが既知のセキュリティ問題のあるデバイスを誤って出荷する可能性を減らすことが含まれます。

ユーザー制御

Q：アプリが悪意があると見なされたが、必ずしも危険ではない場合（たとえば、不要な広告で通知トレイをスパムするアプリなど）、ユーザーを支援するために使用できるツールは何ですか？

Ludwig： Androidは、ユーザーがデバイスのエクスペリエンスを制御できるコントロールをユーザーに提供します。これには、アプリケーションのアクセス許可の表示、アプリケーションが通知を表示する機能などの設定の構成、アプリケーションをいつでも無効化または削除する機能が含まれます。

通知が不要な場合、ユーザーは通知を長押しして、どのアプリが通知を生成したかを確認し、アプリケーションの通知設定を変更するか、アプリケーションをアンインストールできます。

セキュリティチェック

Q：Googleが悪意のあるアプリのユーザーに警告するメッセージを送信し、ユーザーがアプリを削除しないか、メッセージを誤って削除したためにアプリを削除しない場合はどうなりますか？

Ludwig：潜在的に有害であることが知られているアプリが誤ってインストールされないようにするために設計された複数の冗長なセキュリティチェックがあります。これらの各チェックで、潜在的に有害なアプリに関する警告を受け取ったユーザーの大部分は、続行しないことを選択します。

主な手順は次のとおりです。

Googleは、既知の潜在的に有害なアプリの警告システムを多くのアプリのバックエンドに統合しました。そのため、たとえば、セーフブラウジングを備えたChromeブラウザーは、潜在的に有害なアプリをホストしているウェブサイトにあるように見えるウェブサイトからアプリをダウンロードする前に、ユーザーに警告する場合があります。

とにかくダウンロードしてインストールすることを選択した場合、インストール時に警告が表示されます（インストールするかどうかを判断するのに役立つアプリケーションのアクセス許可などの他の情報も表示されます）。

それでも続行することを決定した場合、アプリケーションはインストールされますが、ユーザーが実際にアプリケーションを実行することを決定するまでは何もできません。したがって、被害を引き起こす可能性がある前に、アプリケーションを削除することを選択する機会がもう1つあります。

アプリを実行するかどうか、デバイスにインストールされている場合は、アプリのバックグラウンドスキャンの確認でアプリにフラグが付けられ、アプリの削除を推奨する別の警告が表示されます。通常、この警告は約1週間に1回発生しますが、ユーザーには「次回から通知しない」と言うオプションがあります。

ウイルス対策アプリ

Q：サードパーティのセキュリティアプリは、潜在的に有害なPlayストアアプリからさらに安全に保っていますか？

Ludwig： Google Playに組み込まれている保護は非常に堅牢です。 Google Playの外部にアプリをインストールするユーザーには、Google PlayがインストールされているAndroid 2.3以上（Androidデバイスの99％以上）を実行しているAndroidデバイスで提供されるVerify Appsを有効にすることを強くお勧めします。

2014年、Googleが収集したアプリの検証データによると、ユーザーが意図的にインストールしたルートアプリを無視すると、Google Playの外部から米国英語のデバイスにインストールされたアプリケーションの0.15％未満が潜在的に有害なアプリケーションとして分類されました。 Verify Appsによって提供される組み込みの保護と、PHAのインストールの発生頻度が低いことを考えると、追加のセキュリティソリューションの潜在的なセキュリティ上の利点は非常にわずかです。

カスタムROM

Q：Googleのセキュリティ機能は、サードパーティバージョンのAndroidをインストールしたユーザーに適用されますか？（コミュニティ作成のROM）

Ludwig：はい、サードパーティのROMは通常AOSP上に構築されているため、Androidサンドボックスをサポートし、それらの多くはセキュリティサービスを含むGoogleのアプリケーションを使用しています。

そして、あなたはそれを持っています。 GoogleはAndroidを安全に保つために信じられないほどの作業を行っており、その大部分は次に起こることに対して準備されています。しかし、それは常にちょっとしたネコとネズミのゲームになるでしょう。常にそうであるように、デバイスを安全に保つことは、タップしている場所、インストールしているもの、可能な限り通知されることを認識することです。

詳細については、セキュリティシリーズの残りの部分を必ずご覧ください。