AndroidX セキュリティ状態ライブラリの導入: デバイスのセキュリティの全体像

Android では、デベロッパーや企業パートナーがデバイスを保護するために必要なデータを提供できるよう、常に取り組んでいます。本日、AndroidX セキュリティ状態  バージョン 1.1.0 と セキュリティ状態プロバイダ バージョン 1.0.0 ライブラリの安定版リリースを発表いたします。これらのライブラリは、Android エコシステム全体にわたる包括的なセキュリティ ポスチャーと保留中のアップデートの透明性を高めるように設計された一元化されたメカニズムを提供します。

セキュリティが重要な消費者向けアプリ（銀行、フィンテック、医療など）を開発している場合でも、モバイル デバイス管理（MDM）ソリューションを開発している場合でも、これらのライブラリを使用すると、コンポーネントごとにデバイスのセキュリティ状態をプログラムで検証できます。粗いモノリシックなセキュリティ パッチ レベル（SPL）に依存するのではなく、androidx.security.state ライブラリを使用して、コンポーネント レベルの実際の保護と、修正がアクティブに保留中かどうかを評価できます。OEM や無線（OTA）クライアント デベロッパーは、コンパニオン ライブラリ androidx.security.state.provider を使用して、標準化されたメカニズムでアップデートの提供状況を公開できます。

セキュリティ パッチレベル（SPL）について

Android は、Google Play システム アップデートなどのモジュール式システムを通じて、迅速かつ独立したコンポーネント アップデートを提供できるように進化してきたため、単一の SPL ビルド プロパティに依存することは、デバイスの真のセキュリティ ポスチャーを判断する最善の方法ではなくなりました。コンポーネント レベルの可視性を提供するため、セキュリティ状態ライブラリは 3 つの異なるパッチレベルの API を提供します。

• デバイス SPL（DSPL）: ネットワーク呼び出しなしでデバイスのプロパティと設定からクエリされる、特定のシステム コンポーネントについてデバイスに現在インストールされ実行されているセキュリティ パッチ レベル。
• 公開済み SPL（PSPL）: これらのコンポーネントについて、Android のセキュリティに関する公開情報で公式に公開されている最新のパッチレベル。
• 利用可能な SPL（ASPL）: 特定のデバイスにダウンロードしてインストールできるパッチレベル。デバイス上のアップデート クライアントとのプロセス間通信（IPC）を介して非同期でクエリされます。

セキュリティ状態ライブラリは、次のコンポーネントでこれらのパッチレベルを追跡します。

• システム: Android オペレーティング システムのコア。標準/OEM システムの OTA アップデートを介して更新されます。
• システム モジュール: モジュラー OS サブシステムは、Google Play システム アップデート（プロジェクト Mainline）を通じてバックグラウンドでシームレスにアップデートされます。
• カーネル: デバイスのハードウェアとソフトウェアをつなぐ基盤レイヤ。月単位の日付ではなく、長期サポート（LTS）リリース バージョン（5.15.159 や 6.1.91 など）で評価されます。

コンポーネント レベルでこれら 3 つの異なるパッチレベルを提示することで、デベロッパーや企業はデバイスのセキュリティ レベルを正確に把握し、不足しているパッチを特定して、事前に対策を講じることができるようになります。その方法の 1 つを以下の例に示します。

デバイス アクセスを全か無かの二者択一で判断するのではなく、デベロッパーや企業は DSPL、PSPL、ASPL を組み合わせて、コンテキストに応じたスマートなセキュリティ判断を行うことができます。たとえば、銀行アプリや企業アプリは、高額な支払いなどの機密性の高いワークフローや認証情報の登録を開始する前に、デバイスの現在のセキュリティ パッチ（DSPL）と保留中のアップデート（ASPL）を比較できます。インストール待ちのアップデートがある場合、デベロッパーや企業は、ユーザーにまずデバイスをアップデートするよう求めることができます。さらにきめ細かい制御を行うために、開発者や企業は、特定の高リスクの脆弱性（CVE）がデバイスでパッチされているかどうかをクエリできます。たとえば、タップ決済や近接データ共有を承認する前に、重要な NFC や Bluetooth の修正が適用されていることを確認できます。

フローの概要

アプリ デベロッパーと企業管理向け

クライアント アプリケーションは、androidx.security.state ライブラリを使用して、情報に基づいたコンテキスト認識型の判断を行うことができます。

• 同期ポスチャー チェック（DSPL）: アプリは、アプリの起動時にシステム、システム モジュール、カーネルのインストール済みパッチレベルを直ちに検査し、PSPL と比較して、機密性の高い企業リソースや生体認証アクセスをロック解除する前に、デバイスが組織の必要なセキュリティ ベースラインを満たしているかどうかを確認できます。
• 保留中のアップデートのプロンプト（ASPL）: デバイスのパッチがわずかに遅れている従業員をすぐにブロックするのではなく、エンタープライズ アプリは ASPL にクエリを実行して、保留中のシステム アップデートまたは Google Play システム アップデートがステージングされ、インストール準備が整っているかどうかを確認できます。その場合、アプリは、インストールを完了するためにシステム設定に移動するようユーザーに促す、カスタマイズされたアプリ内ガイダンスを表示できます。
• 脆弱性レベルの監査（CVE）: 高い保証が求められるユースケース向けに、このライブラリは、Open Source Vulnerabilities（OSV）からデバイス固有の脆弱性レポートをダウンロードし、特定の重大な CVE がデバイスで解決されているかどうかをプログラムで監査する機能を提供します。

OEM とアップデート クライアント向け: アップデートの利用可能性の標準化

コンパニオン ライブラリ androidx.security.state.provider は、更新クライアントがデバイス上で直接更新の可用性を報告するための、標準化された Android IPC メカニズムを確立します。これまで、独自の OTA クライアントでアップデートの利用可能性が示されても、その情報はサイロ化され、サードパーティ アプリケーションでクエリできませんでした。今後、アプリは、アップデートが OEM の専用 OTA クライアント経由で配信されるか Google Play 経由で配信されるかにかかわらず、アップデート クライアントによって提供される限り、単一の統合 API を通じて ASPL の詳細にアクセスできます。

• Google Play システム アップデートは、GMS Android デバイス全体で ASPL をすでに公開しています。
• Google Over-The-Air（GOTA）もオンボーディングされており、世界中の OEM と協力して、OTA クライアントをこの標準化されたフレームワークにオンボーディングしています。

速報レベルのデータを組み込む

Security State ライブラリは、単一の SPL 文字列だけでなく、そのパッチレベルがデバイスにとって実際に何を意味するのかを明確にします。Open Source Vulnerabilities（OSV）データベースと統合して Android のセキュリティに関する公開情報のデータを取得することで、ライブラリはこれまで以上に詳細な分析を行うことができます。このデータにより、ライブラリは、CVE エントリなどの特定の脅威がブロックされているかどうかを尋ねるだけでなく、デバイスの「有効な」詳細なセキュリティ状態を提供することもできます。

このアプローチが企業と Android OEM にもたらすメリットは次のとおりです。

• 特定のコンポーネントに対する新しい脅威が、月ごとのセキュリティ アップデートに含まれていないことがあります。この場合、ライブラリはコンポーネントのセキュリティ レベルを自動的に引き上げ、その「有効」なセキュリティ状態を反映します。これにより、既知のすべてのセキュリティの脅威から完全に保護されているデバイスが正確に評価されます。
• Android 17 で導入された新機能により、OEM は Supplemental Patches XML ファイルを介して、SPL よりも上位に適用された特定のセキュリティ修正を宣言できます。この機能により、特定のセキュリティ修正をバックポートする OEM は、モノリシックな SPL の更新を待つことなく、デバイスのコンプライアンスをすぐに証明できます。これにより、継続的なパッチ適用の取り組みが適切に評価されます。セキュリティ状態ライブラリは、この詳細な情報をアプリやサービスに提供し、継続的なパッチ適用作業が実装された時点で認識されるようにします。

使ってみる

セキュリティ状態ライブラリは、Android エコシステム全体を強化するために構築されています。

• アプリ デベロッパーと MDM: ユーザーの保護を開始し、リアルタイムのパッチ ポスチャーを評価するには、公式のデバイスのセキュリティ状態を理解するガイドをご覧ください。
• OEM とアップデート クライアント: AndroidX Security State Provider ライブラリを使用して ASPL を公開するようにアップデート クライアントをオンボーディングします。補足パッチ XML を公開して、バックポートされたパッチのクレジットをすぐに取得します。
• リリースノート: Security-State ライブラリと Security-State-Provider ライブラリの公式 AndroidX リリースノートで、完全な変更ログと API シグネチャをご確認ください。

皆様からの貴重なご意見をお待ちしております。ライブラリをお試しいただき、ご意見やご感想をお聞かせください。また、問題が発生した場合は、公開の Android Issue Tracker でご報告ください。