Androidスマートフォンの安全性を確認する際、これまでは「セキュリティアップデート」の日付が大きな判断材料になっていました。しかし、この日付だけでは端末が実際にどこまで保護されているのか、正確に判断できないケースがあります。
Googleは今回、Android端末に適用されているセキュリティ修正を、より細かく確認できる新しい仕組みを提供しました。これにより、アプリ側が端末全体のセキュリティパッチレベルだけでなく、個別のコンポーネントや脆弱性が修正済みかどうかまで確認できるようになります。
セキュリティパッチの日付だけでは分からないこと
Androidでは、OSのすべての部分が同じタイミングで更新されるとは限りません。メーカーから提供されるシステムアップデートとは別に、Google Play経由で更新できるコンポーネントも存在します。
そのため、端末に表示されるセキュリティパッチレベルの日付が変わっていなくても、特定のセキュリティ問題だけはすでに修正されている場合があります。
Googleは今回、AndroidXの「Security State」と「Security State Provider」ライブラリの安定版を公開しました。これらを利用することで、アプリは端末にどのセキュリティ修正が適用済みなのか、最新の修正は何なのか、さらに端末向けのアップデートがインストール待ちになっているのかといった情報を確認できます。
銀行アプリなどで活用される可能性
特に効果が期待されるのが、銀行アプリなど高いセキュリティが求められるアプリです。
例えば、重要な操作を実行する前に、端末へ特定のセキュリティ修正が適用されているかをアプリ側で確認できるようになります。もし必要なアップデートがすでに配信されているものの、まだインストールされていない場合は、単に操作を拒否するのではなく、ユーザーにアップデートを促すといった対応も可能になります。
さらに、Googleによれば、アプリはCVEとして識別される個別の脆弱性が端末上で修正されているかどうかも確認できるようになります。
例えば、NFCやBluetoothに関する重要な脆弱性への対策が適用済みかを確認したうえで、タッチ決済や近距離でのデータ共有といった機能を利用できるようにする、といった使い方が考えられます。
Android 17ではメーカー側の対応も可能に
今回の仕組みでは、スマートフォンメーカー側にもメリットがあります。
メーカーによっては、特定のセキュリティ修正だけを端末へ追加しながら、端末に表示される全体のセキュリティパッチ日付を変更しないケースがあります。
Android 17では、メーカーが個別のセキュリティ修正に関する情報をAndroidへ伝えられるようになっており、今回のSecurity State関連ツールを通じて、その情報をアプリ側から確認できるようになります。
つまり、ユーザーの端末に表示されているセキュリティパッチの日付が少し古いままであっても、特定の脆弱性についてはすでに修正済みという状況を、アプリが正しく把握できるわけです。
今回の変更は、一般ユーザーがスマートフォンを操作する中ですぐに気付くような機能ではありません。多くの処理はバックグラウンドで行われることになります。
それでも、アプリ側がセキュリティパッチの日付だけに頼らず、端末が実際にどの程度保護されているのかを細かく判断できるようになる点は大きな変化です。今後、銀行や決済、通信などセキュリティを重視するアプリで、この仕組みが活用される可能性があります。
