アプリ開発者の隠れた動機を見抜く

Androidアプリのセキュリティ検査に機械学習を活用　Googleが挑戦（2/2 ページ）

公開 2017年07月28日 05時00分

更新 2018年03月01日 11時27分

著者

Michael Heller

[TechTarget]

印刷する

疑問が残る実効性

　パターソン氏によると、例えば「Words With Friends」といったゲームアプリを販売するベンダーは、GPS（全地球測位システム）による位置情報のような詳しい情報について、収集する必要性を正当化する機能を簡単に組み込める。「Googleは、モバイルアプリ開発者に隠れた動機がないかどうかを監視しようとするだろう」と同氏は語る。

　ヘロルド氏は、GoogleがAndroidアプリのプライバシースキャンを実施するのは「素晴らしい」ことだと評価する。ただし機械学習の有効性については懐疑的だ。「Googleはアプリを提供している実体なのだから、Google Playに置かれるアプリは安全なものであり、プライバシーを守るものであることを最大限保証する責任を負う」と同氏は語る。特にGDPRなどの新しい法制度の中には、プライバシー管理手段の組み込みを求めるものもある。

　プライバシー管理に機械学習を利用した場合に、どの程度の効果があるのか、どの程度正確なのかを見るのは「興味深い」とヘロルド氏は語る。プライバシーの判断には、データが「どのように」「どこで」「いつ」使用されたり共有されたりしているか、その状況を思慮することが必要になる。

　ヘロルド氏は「プライバシースキャンの隙間を通り抜けたアプリを発見すべきだ」とアドバイスする。例えば機械学習のメカニズムではフラグが立たなかったアプリについて、その中に含まれるデータを確認するためのクイックレビューをするチームを構成する。一方で機械学習によって安全だと断言されたアプリに対しては、セカンドオピニオンを提供するユーザーを用意する、などだ。

　ルーマニアを拠点とするマルウェア対策ベンダーBitdefenderのシニア電子脅威アナリストであるリビウ・アルセーヌ氏は、Androidアプリのプライバシースキャンを自動化すると、プライバシーの懸念に関するヒューマンファクターを見落としてしまう可能性があると言う。「プライバシーは非常に個人的なものだ。位置追跡がプライバシーの侵害だと言う人もいれば、そうは言わない人もいるだろう。現在利用可能な300万種類のアプリにプライバシーラベルを設定しようとするのは困難なはずだ」（アルセーヌ氏）

　悪意のないアプリを間違って脅威だと認識してしまう誤検知は「確実に起こる」とアルセーヌ氏は語る。Androidアプリのプライバシースキャンは、アプリの信頼性の確認を「ずっと簡単かつ効率的にする可能性がある」と同氏は指摘。ただしアプリがプライバシーを侵害しているかいないかの判断は「究極的には個別のユーザーに委ねられている」（同）と説明する。

　今後、開発者はデータの収集を優先し、Androidアプリのプライバシーをますます軽視していくだろうとヘロルド氏は語る。

　モノのインターネット（IoT）に組み込まれるアプリが増えるにつれて「より多くの種類のデータが個人にひも付けられ、利用の増加に従ってプライバシーのリスクも高くなる」とヘロルド氏は言う。プライバシーのリスクを軽減しようと取り組んでいるベンダーは存在する。だがこうしたベンダーの数よりも「リスクの方がずっと速いスピードで高まってきている」（同氏）のが現状だという。