2種類のストレージ

　AEADではダイレクトブートモードと共に、「端末暗号化ストレージ」と「認証情報暗号化ストレージ」という2段階のストレージによるセキュリティスキームを導入する。セキュリティチームや社内アプリケーション開発者は、両方の種類のストレージについて、データとアプリケーションがどう暗号化されるかを理解しておく必要がある。

　端末暗号化ストレージは、端末に関連付けた鍵で暗号化できる。この鍵は、ARM製プロセッサのセキュリティ機能であり、Android端末のセキュリティ対策の一部として広く普及している「TrustZone」を採用したハードウェアに保存する。端末が認証に成功した場合にのみ、この鍵が有効になる。

　ダウンタイムを減らすため、Android 7.0は電源を入れるとダイレクトブートモードで起動する。端末暗号化ストレージ内のアプリケーションやデータには、ダイレクトブートモードでもアクセスできる。SMS（ショートメッセージサービス）や電話、アラームといったアプリケーションをバックグラウンドで実行しており、エンドユーザーが端末のロックを解除する前に、通知などの情報を表示する。

　一方、デフォルトの保存場所となる認証情報暗号化ストレージ内のデータやアプリケーションは、端末のロックが解除されるまでアクセスできない。これは、エンドユーザーの暗証番号やパスワードといった認証情報に関連付けた鍵で暗号化するからだ。もしエンドユーザーが端末のロックを解除した後に、再度画面ロックを有効にしたとしても、認証情報暗号化ストレージはロックされない。開発者は開発するアプリケーションについて、ダイレクトブートモードで実行可能な機能を制限し、個人情報やセンシティブなデータは認証情報暗号化ストレージに保存する仕組みを設ける必要がある。

　ファイルベースの暗号化は、それほどの処理能力は必要としない。だが難点として、例えばスワップパーティションのようなファイルシステムの一部の領域には、暗号化されないデータが含まれることもある。またアプリケーションが利用、生成するセンシティブなデータの暗号化が正しく実装されるかどうかは、それぞれのアプリケーション任せになる。

　Android 7.0で新たに加わるキーストア関連APIでは、鍵が安全なハードウェアに保存されているかどうかを確認したり、エンドユーザーがアプリケーションで認証を済ませた後に鍵を使える期間を指定したりできる。開発者はまた、「SafetyNet」というAPIを活用して端末の互換性や完全性、安全性を確認する必要がある。例えば会社のアプリケーションについて、更新していない端末ではアプリケーションの機能を無効にすることもできる。

　OSのバージョンが上がるたびに、Android端末のセキュリティは改善され続けてきた。コンポーネントの孤立化と権限縮小によって、危険な脆弱性と化す不具合の数は減るだろう。静かでシームレスなアップデートは、IT管理の負担を軽減する。

　それでもアップデートプロセスがAndroidの“アキレスけん”であることは、Googleさえも認めている。Googleは端末メーカーにプレッシャーをかけて、毎月のアップデート配信を約束させようとしてきたが、ほとんど成功していない。ネットワークを運営する側もアップデートをテストしてネットワークに障害が出ないことを確認する必要があり、それが一層の遅れを生じさせる。

　何百万台というレガシーAndroid端末が更新されるまで、Androidエコシステムは攻撃者にとって格好の標的であり続ける。従って企業は、Androidのどのバージョンであれば自社のネットワークやリソースに安心してアクセスを許可できるのか、検討しなければならない。

　例えばAndroid 7.0にアップグレードできる端末でも、そのために必要なデュアルシステムパーティションの作成はエンドユーザーにとって危険過ぎるという理由で、ダイレクトブートモードは搭載しないかもしれない。従業員に私物端末を使わせる「BYOD」を採用し、かつAndroid 7.0の恩恵を受けたい企業は、従業員にインセンティブを与えて、最新のセキュリティ機能を活用できる新しい高性能端末にアップグレードしてもらうことが必要になるだろう。