AndroidX セキュリティ状態ライブラリの導入: デバイス セキュリティの統合ビュー

Android では、デベロッパーと企業パートナーがデバイスを保護するために必要なデータを常に提供できるよう取り組んでいます。本日、AndroidX セキュリティ状態 バージョン 1.1.0 と セキュリティ状態プロバイダバージョン 1.0.0 ライブラリの安定版リリースを発表いたします。これらのライブラリは、Android エコシステム全体の包括的なセキュリティ体制と保留中のアップデートの透明性を高めるように設計された一元化されたメカニズムを提供します。

セキュリティが重要な消費者向けアプリ（銀行、フィンテック、医療など）やモバイル デバイス管理（MDM）ソリューションを開発する場合、これらのライブラリを使用すると、コンポーネントごとにデバイスのセキュリティ状態をプログラムで検証できます。粗いモノリシックなセキュリティ パッチ レベル（SPL）に依存するのではなく、androidx.security.state ライブラリを使用して、コンポーネント レベルの実際の保護と、修正がアクティブに保留中かどうかを評価できます。OEM と Over-The-Air（OTA）クライアント デベロッパー向けに、コンパニオン androidx.security.state.provider ライブラリを使用すると、標準化されたメカニズムでアップデートの利用可能性を公開できます。

セキュリティ パッチレベル（SPL）について

Android は、Google Play システム アップデートなどのモジュラー システムを通じて、迅速かつ独立したコンポーネント アップデートを提供できるように進化してきたため、単一の SPL ビルド プロパティに依存することは、デバイスの真のセキュリティ ポスチャーを判断する最善の方法ではなくなりました。コンポーネント レベルの可視性を提供するため、セキュリティ状態ライブラリは 3 つの異なるパッチレベルの API を提供します。

• デバイス SPL（DSPL）: 特定のシステム コンポーネントについて、デバイスに現在インストールされ実行されているセキュリティ パッチ レベル。ネットワーク呼び出しなしでデバイスのプロパティと設定からクエリされます。
• 公開済み SPL（PSPL）: これらのコンポーネントについて、Android のセキュリティに関する公開情報で公式に公開されている最新のパッチレベル。
• 利用可能な SPL（ASPL）: 特定のデバイスにダウンロードしてインストールできるパッチレベル。デバイス上のアップデート クライアントとのプロセス間通信（IPC）を介して非同期でクエリされます。

セキュリティ状態ライブラリは、次のコンポーネントでこれらのパッチレベルを追跡します。

• システム: 標準/OEM システム OTA アップデートで更新されるコア Android オペレーティング システム。
• システム モジュール: モジュラー OS サブシステムは、Google Play システム アップデート（プロジェクト Mainline）を通じてバックグラウンドでシームレスにアップデートされます。
• カーネル: デバイスのハードウェアとソフトウェアをつなぐ基盤レイヤ。月単位のカレンダーの日付ではなく、長期サポート（LTS）リリース バージョン（5.15.159 や 6.1.91 など）で評価されます。

コンポーネント レベルでこれら 3 つの異なるパッチレベルを提示することで、デベロッパーや企業はデバイスのセキュリティ レベルを正確に把握し、不足しているパッチを特定して、積極的な修復措置を講じることができるようになります。その方法の 1 つを以下の例に示します。

デバイス アクセスを全か無かのどちらかにするのではなく、デベロッパーや企業は DSPL、PSPL、ASPL を組み合わせて、コンテキストに応じたスマートなセキュリティ判断を行うことができます。たとえば、銀行アプリや企業向けアプリは、高額な支払いなどの機密性の高いワークフローや認証情報の登録を開始する前に、デバイスの現在のセキュリティ パッチ（DSPL）と保留中のアップデート（ASPL）を比較できます。インストール待ちのアップデートがある場合、デベロッパーや企業は、ユーザーにデバイスのアップデートを先に要求できます。さらに細かい制御を行うために、デベロッパーや企業は、特定の高リスクの脆弱性（CVE）がデバイスで修正されているかどうかをクエリできます。たとえば、タップして支払いを行うことや近接データ共有を承認する前に、NFC や Bluetooth の重要な修正が適用されていることを確認できます。

フローの概要

アプリ デベロッパーと企業管理向け

クライアント アプリケーションは、androidx.security.state ライブラリを使用して、コンテキストを認識したうえで十分な情報に基づいて判断できます。

• 同期ポスチャー チェック（DSPL）: アプリは、アプリの起動時にシステム、システム モジュール、カーネルのインストール済みパッチレベルを直ちに検査し、PSPL と比較して、機密性の高い企業リソースや生体認証アクセスをロック解除する前に、デバイスが組織の必要なセキュリティ ベースラインを満たしているかどうかを確認できます。
• 保留中のアップデートのプロンプト（ASPL）: デバイスのパッチがわずかに遅れている従業員をすぐにブロックするのではなく、エンタープライズ アプリは ASPL にクエリを実行して、保留中のシステム アップデートまたは Google Play システム アップデートがステージングされ、インストール準備が整っているかどうかを確認できます。その場合、アプリは、インストールを完了するためにシステム設定に移動するようユーザーに促す、カスタマイズされたアプリ内ガイダンスを表示できます。
• 脆弱性レベルの監査（CVE）: 信頼性の高いユースケースでは、このライブラリは、Open Source Vulnerabilities（OSV）からデバイス固有の脆弱性レポートをダウンロードし、特定の重大な CVE がデバイスで解決されたかどうかをプログラムで監査する機能を提供します。

OEM とアップデート クライアント向け: アップデートの提供を標準化

コンパニオン androidx.security.state.provider ライブラリは、アップデート クライアントがデバイスでアップデートの利用可能性を直接レポートするための標準化された Android IPC メカニズムを確立します。これまで、独自の OTA クライアントがアップデートの利用可能性を通知しても、この情報はサイロ化され、サードパーティ製アプリでクエリできませんでした。今後、アプリは、アップデートが OEM の専用 OTA クライアント経由で配信されるか Google Play 経由で配信されるかにかかわらず、アップデート クライアントによって提供される限り、単一の統合 API を通じて ASPL の詳細にアクセスできます。

• Google Play システム アップデートは、すでに GMS Android デバイス全体で ASPL を公開しています。
• Google Over-The-Air（GOTA）もオンボーディングされており、世界中の OEM と協力して、OTA クライアントをこの標準化されたフレームワークにオンボーディングしています。

速報レベルのデータを組み込む

セキュリティ状態ライブラリは、単一の SPL 文字列だけでなく、そのパッチレベルがデバイスにとって実際にどのような意味を持つのかを明確に示します。オープンソースの脆弱性（OSV）データベースと統合して Android のセキュリティに関する公開情報のデータを取得することで、ライブラリはこれまで以上に詳細な情報を確認できます。このデータを使用すると、CVE エントリなどの特定の脅威がブロックされているかどうかを照会するだけでなく、デバイスの「有効な」きめ細かいセキュリティ状態をライブラリで提供することもできます。

このアプローチは、企業と Android OEM に次の 2 つのメリットをもたらします。

• 特定のコンポーネントについて、毎月のセキュリティ アップデートに新しい脅威が含まれていないことがあります。この場合、ライブラリはコンポーネントのセキュリティ レベルを自動的にインクリメントして、その「有効」なセキュリティ状態を反映します。これにより、既知のセキュリティの脅威から完全に保護されているデバイスが正確に評価されます。
• Android 17 で導入された新機能により、OEM は Supplemental Patches XML ファイルを介して、SPL より上に適用された特定のセキュリティ修正を宣言できます。この機能により、特定のセキュリティ修正をバックポートする OEM は、モノリシックな SPL の完全な引き上げを待つことなく、デバイスのコンプライアンスをすぐに証明できるため、継続的なパッチ適用作業が適切に評価されます。Security State ライブラリは、この詳細な情報をアプリやサービスに提供し、継続的なパッチ適用作業が実装された瞬間に認識されるようにします。

使ってみる

セキュリティ状態ライブラリは、Android エコシステム全体を強化するために構築されています。

• アプリ デベロッパーと MDM: ユーザーの保護を開始し、リアルタイムのパッチ ポスチャーを評価するには、公式のデバイスのセキュリティ状態を理解するガイドをご覧ください。
• OEM と更新クライアント: AndroidX Security State Provider ライブラリを使用して ASPL を公開するように更新クライアントをオンボーディングします。補足パッチ XML を公開することで、バックポートされたパッチのクレジットをすぐに取得できます。
• リリースノート: Security-State ライブラリと Security-State-Provider ライブラリの公式 AndroidX リリースノートで、完全な変更ログと API シグネチャをご確認ください。

皆様からの貴重なご意見をお待ちしております。ぜひライブラリをお試しいただき、ご意見やご感想をお聞かせください。また、問題が発生した場合は、公開の Android Issue Trackerでご報告ください。