「Android Protected Confirmationが特に革新的なのは、主要なOS APIとして初めて高保証のユーザートランザクションを実行できるようにしたことであり、これはメインのOSから分離された『Trusted Execution Environment』（TEE）で保護された安全なハードウェアで実行する」（クライダマッカ氏）

　Android Protected Confirmationを利用するには、独立したマイクロプロセッサであるTEEが必要だ。RAMの特定領域と機密情報が保存されているストレージにはTEEからしかアクセスできない。クライダマッカ氏によると、たとえ端末が感染しても「ルートレベルのマルウェアでもトランザクションの整合性を破損することはできない」という。

　Android Protected Confirmationは対応するハードウェアを必要とするため、Android Pではオプション機能になるが、GoogleはQualcommと協力してモバイルチップにTEEを組み込む作業を進めている。

　こうした新しいセキュリティ機能を利用する現在開発中のソフトウェアとして、Royal Bank of Canadaの送金システムや、企業の本人確認に「高度な信頼性」を提供するNok Nok LabsとDuo Securityのシステムも紹介した。

　クライダマッカ氏はセッション後、新機種「Pixel 3」ではAndroid Protected Confirmationに対応すると記者たちに述べたが、他のハードウェアパートナーもこの機能に対応するかどうかについては「ハードウェア対応に加え、ソフトウェア作業も必要とする」ため明言できないとした。

　また同氏によると、これらの高度なセキュリティ機能に対応しているデバイスをユーザーや企業に分かりやすく示すため、透明性レポートの拡充も検討しているという。現在の透明性レポートでは、さまざまなデバイスのセキュリティパッチレベルを示している。

データとデバイスの整合性

　シン氏は、Android Pではセキュリティキー保護の強化にも取り組んでいると語った。これによって、スマートフォンをより安全な第2ファクターハードウェアにし、本人のスマートフォンでなければ交通系ICカードやクレジットカードの代わりに使えないようにする。Android Pで導入する新しいキーストア「StrongBox」は、分離されたCPUとRAMとストレージを持つ改ざんしにくいハードウェアを使う。Android Protected Confirmationと同じく、StrongBoxもハードウェアの対応を必要とするため、対応可能なデバイスは限られる。

　シン氏は新しいキーガードバウンドキーについても説明した。この機能では、デバイスのロックを解除しないとデータを解読できないため、攻撃者は機密データにアクセスしにくくなる。デバイスのロックを解除しても、さらにユーザーの再認証を求める「BiometricPrompt」というAPIも紹介した。これは生体認証として指紋にしか対応していない「FingerprintManager」の後継となる。ネイティブアプリの認証を強化するBiometricPromptに加え、Webサイトに対する生体認証を可能にする「WebAuthn」と「FIDO2」もAndroid Pに組み込まれる予定だという。

　また、Android PではTLS（Transport Layer Security）が転送中データのデフォルトになり、Android P APIレベルのアプリがTLSに対応していないと、コードで例外が発生するという。

　シン氏は「昨今のアプリでTLSを使うのは当たり前のことになった。TLSはユーザーのプライバシー保護や、転送中のコンテンツの改ざん防止に役立つ。不要な広告やトラッキングIDの挿入、アプリの脆弱（ぜいじゃく）性を悪用する特殊なフォーマットのデータ挿入も防ぐことができる」と述べた。

　シン氏はまた、Android Pのセキュリティは「FIPS」準拠を必要とする開発者にも役立つと語った。AndroidでSSLトラフィックを保護する技術は、多数のFIPS承認済みアルゴリズムについてNISTからCBAP認定を受けたという。

　「これによって、規制の厳しい業界を対象とする開発者はFIPS準拠を自動的に組み込めることになる」（シン氏）

　シン氏によると、Android Pは「DNS over TLS」をデフォルトで組み込む最初のOSになるという。また生体認証ログインを無効にし、ロック画面に通知が表示されないようにするロックダウンモードも用意する。

　鍵の構成証明書もアップデートされた。これによってデバイスが正規のファームウェアを実行していることや、セキュリティパッチレベルを確認でき、ハッシュを受け取ることができる。

　シン氏はプライバシーもAndroid Pの重要な領域だと述べた。Android Pでは、どのAPIレベルであれ、デバイスのマイクやカメラ、その他のセンサーへのアクセスをフォアグラウンドのアプリのみに限定する。バックグラウンドのアプリやアイドル状態のアプリがセンサーデータにアクセスすることはできない。バックグラウンドのアプリからセンサーデータにアクセスするには、現在の状況を知らせる持続的な通知を作成する必要がある。

　Android Pの最初のリリースは2018年夏になる予定だ。Googleはアップデートの提供を迅速にする「Project Treble」という取り組みを進めているが、Androidのアップデート同様、このアップデートや新機能の一般提供とその時期については明らかになっていない。