Android 4.2 で強化されたセキュリティ機能

Android は、Android のセキュリティの概要に記載されているマルチレイヤ セキュリティ モデルを提供しています。Android の各アップデートでは、ユーザーを保護するために多くのセキュリティ機能が強化されます。Android 4.2 では、次のようなセキュリティ機能が強化されました。

  • アプリの確認 - ユーザーは「アプリの確認」を有効にして、インストール前にアプリの検証ツールでアプリをスクリーニングできます。害を及ぼす可能性があるアプリをユーザーがインストールしようとすると、アプリの確認がユーザーに警告することがあります。特に有害なアプリの場合、インストールをブロックすることもあります。
  • プレミアム SMS の詳細な管理 - 追加料金が発生する可能性があるプレミアム サービスを使用しているショートコードにアプリが SMS を送信しようとすると、Android によって通知が表示されます。ユーザーは、アプリによるメッセージの送信を許可するかブロックするかを選択できます。
  • 常時接続 VPN - VPN 接続が確立されるまでアプリがネットワークにアクセスできないように VPN を構成できます。これにより、アプリが他のネットワークを経由してデータを送信することができなくなります。
  • 証明書のピン留め - Android コアライブラリで証明書のピン留めがサポートされるようになりました。ピン留めされたドメインは、証明書が一連の想定される証明書にチェーンされていない場合、証明書の検証失敗を受け取ります。これにより、認証局のセキュリティ侵害を防ぐことができます。
  • Android 権限の表示の改善 - 権限は、ユーザーが簡単に理解できるグループに分類されています。ユーザーは権限について確認する際に、権限をクリックすれば詳細情報を確認できます。
  • installd の強化 - installd デーモンは root ユーザーとして実行されないため、ルート権限昇格に対する潜在的な攻撃対象領域が狭まります。
  • init スクリプトの強化 - init スクリプトによって O_NOFOLLOW セマンティクスが適用され、symlink 関連の攻撃を防ぐことができるようになりました。
  • FORTIFY_SOURCE - Android に FORTIFY_SOURCE が実装されました。これは、メモリ破損を防ぐためにシステム ライブラリとアプリで使用されます。
  • ContentProvider のデフォルト構成 - API レベル 17 をターゲットとするアプリでは、各コンテンツ プロバイダに対して「export」がデフォルトで「false」に設定されるため、アプリのデフォルトの攻撃対象領域が狭まります。
  • 暗号 - OpenSSL を使用するように、SecureRandom と Cipher.RSA のデフォルトの実装が変更されました。また、OpenSSL 1.0.1 を使用した TLSv1.1 と TLSv1.2 に対する SSLSocket のサポートが追加されました。
  • セキュリティに関する修正 - セキュリティに関する修正によってアップグレードされたオープンソース ライブラリに、WebKit、libpng、OpenSSL、LibXML が含まれています。Android 4.2 では、Android 固有の脆弱性に対する修正も行われています。これらの脆弱性に関する情報は、オープン ハンドセット アライアンスのメンバーに提供されています。修正プログラムは Android オープンソース プロジェクトで入手できます。また、Android の以前のバージョンがインストールされている一部のデバイスでも、セキュリティ強化のために修正プログラムが適用されている場合があります。