Androidを取り巻く脅威――ユーザーにできることは？：Androidセキュリティの今、これから（2）（2/3 ページ）

[Android セキュリティ部，＠IT]

【コラム】　その他のAndroidに関連する脆弱性や問題

　本記事で取り上げた任意のコードを実行できてしまう脆弱性以外にも、たびたびAndroid関連の脆弱性や問題が話題となっています。表2に、Androidセキュリティ部のメーリングリストで議論された脆弱性や問題をまとめました。

　これらは「脅威」だけが注目されがちな印象があります。実際にこれらを悪用するには、前提条件があります。本文で取り上げた脆弱性［1］よりも、これらの脆弱性や問題が攻撃に悪用される敷居は、前提条件の分だけ高いといえるでしょう。

脆弱性	発見年月	問題の概要
Androidにおける情報漏えいの問題	2010年10月	Android端末に保存したHTMLファイルからファイルシステムにアクセスできてしまう問題。この問題を悪用すると、攻撃者が意図的に細工したHTMLファイルをユーザーにダウンロードさせて開かせることで、指定したパスのファイルを外部に送信できてしまいます。この問題が悪用される場合、ユーザーが特定の操作を実施する必要があります。
Android版Skypeにおけるファイルアクセス権限の不備	2011年3月	Skypeのアプリ領域（/data/data/com.skype.raider/以下）に保存されているファイルのアクセス権限に不備がありました。この問題を悪用すると、Skypeが保存したユーザーIDや連絡先情報などに、他のAndroidアプリがアクセスできてしまいます。この脆弱性が悪用される場合、ユーザーがAndroidマルウェアに感染する必要があります。
表2　Androidセキュリティ部のメーリングリストで議論された脆弱性や問題

　脆弱性に関する話題として、他に「root化」行為が挙げられます。

　Android端末においてroot権限を奪取する行為は、一般的に「root化」と呼ばれます。この「root化」の手法の中には、Androidに関連した脆弱性を突いたものがあります。ボタン一発で「root化」するAndroidアプリは、裏側では脆弱性を突いているのです。

　Android端末を販売する携帯電話キャリアによっては、この「root化」行為をソフトウェアの改造行為として考える場合があります。例えば、KDDIが販売しているAndroid端末の中には、取扱説明書の［安全上の注意］に「ソフトウェアを含め、お客様による分解・改造・変更・修理をしないでください」というが警告が掲載されているものがあります。取り立てて理由がないのであれば、「root化」すべきではないでしょう。

脅威に対して今できる3つの対策

　Androidを取り巻く脅威「マルウェア」と「脆弱性」の現状を踏まえて、Androidユーザーが今できる対策として、以下の3つを提案したいと思います。

• アプリを信頼できる配布元から取得する（「マルウェア」対策）
• Androidマルウェアが使用するパーミッションに注意する（「マルウェア」対策）
• Android端末のアップデートを実施する（「脆弱性」対策）

　特に本記事では、顕在化している脅威である「マルウェア」のインストールを防ぐ方法を中心に考えていきます。上述のとおり、現在までに確認されているマルウェアの多くは「トロイの木馬」であり、インストールに際してユーザー自身がどれだけ注意を払うかによって、危険度は大きく変わってくるからです。

アプリを信頼できる配布元から取得する

　第1に、Androidアプリは「Android Market」などの信頼できる配布元からインストールし、それ以外で配布されるアプリ（以降、本記事では「提供元不明アプリ」）を避けるようにしましょう。

■信頼できる配布元

（a）Android Market

　すでに「Android Market」経由でのマルウェア配布事例が存在するとはいえ、「Android Market」はGoogleにコントロールされています。「Android Market」では、発見されたマルウェアは迅速に削除されるため、そこでマルウェアに出会う確率はかなり低いといえるでしょう。

　また、「Android Market」へのアプリ登録の前提となる開発者登録には、クレジットカード認証を通過して開発者登録料の支払いが必要となるため、愉快犯的なマルウェア配布者に対する抑止力となっています。

　さらに、万が一「Android Market」でマルウェアをインストールしてしまった場合でも、マルウェアであることが発覚すれば、Googleが遠隔からインストール済みのアプリをアンインストールしてくれます。以上のことから、Androidアプリは極力「Android Market」からインストールするようにしましょう。

（b）アプリ紹介型サイト

　日本国内で運営されているいわゆる「Androidアプリマーケット」のほとんどは、アプリ紹介型のWebサイトであり、実際のインストール時には「Android Market」に誘導されます。従って、そういったサイト経由でのアプリのインストールは、「Android Market」同様に信頼できるといえます。

　さらに、多くのアプリ紹介型サイトでは、アプリに対する独自のレビューを掲載しています。そのようなレビュー付きのアプリについては、明らかに怪しいものが排除されていると期待できます。

（c）キャリアマーケット

　携帯電話キャリアが運営する「ドコモマーケット」「au One Market」「SoftBankピックアップ（注9）」では、「Android Market」からキャリアが選別した、特に安心できるアプリが紹介されています。「Android Market」でのアプリの選択に不安を感じる人は、これらのキャリアマーケットを利用しましょう。

■「提供元不明アプリ」のチェックボックスに注意！

　一部のAndroidアプリマーケットでは、「Android Market」外にあるサーバに保管されたアプリを配布しています。アプリの掲載基準はマーケットごとに異なり、「Android Market」と比較すると信頼性が低い場合があるため注意が必要です。

　実際に、海外のアプリ配布サイトでのマルウェア配布事例は何度も報告されています。開発者やアプリのしっかりした審査プロセスが存在する場合を除いて、このようなマーケットを利用するのは避けたいものです。

　このようなマーケットでは、アプリのインストール時に「提供元不明アプリ」のチェックボックスを有効にする必要があります（注10）。このチェックボックスを有効にすることで「Android Market」外からのアプリのインストールが許可されるのです。マーケット外のアップロードサイトなどで配布されているアプリなども含めて、「提供元不明アプリ」のチェックボックスを有効にしなければならないアプリのインストールは避けるべきでしょう。

　しかしながら、ビジネス上の理由から、自社サイトで直接アプリを配布している企業も存在します。このような場合は、配布元企業の知名度や評判などを考慮したうえで、インストールするかどうかを判断してください。そして、インストールが完了したらすぐに「提供元不明アプリ」のチェックボックスを無効にする習慣を付けましょう。

注9：「SoftBankピックアップ」は「Android Market」自体に組み込まれた機能であるため、厳密には「マーケット」とは呼べませんが、本記事では同様に扱います。

注10：「au One Market」も「Android Market」のアプリ紹介の他に、独自サーバでアプリの配布も行っていますが、au端末では「au One Market」からのインストール時に「提供元不明アプリ」のチェックボックスを入れる必要はありません。また「au One Market」では、開発者の身元確認やアプリの審査を「Android Market」よりも厳しく行っているため、アプリの信頼性は高いといえます。