Androidのフルデバイス暗号化技術 | Secure Code Warrior

デバイス暗号化とは、Androidデバイス上のすべてのデータを暗号化するプロセスです。Androidデバイスでこの機能が有効になると、ユーザーが作成したすべてのデータは、ストレージに書き込まれる前に即座に暗号化されます。これにより、権限のない第三者がデータにアクセスしようとしても、内容を読み取ることができなくなります。スマートフォンは持ち運ぶ機会が多く、他のコンピューティングデバイスよりも紛失や盗難のリスクが高いため、この機能は特に有効です。デバイスのロックを解除できない限り、拾った人や盗んだ人がデータにアクセスすることはできません。

Androidには2種類のデバイス暗号化方式があります。フルディスク暗号化とファイルベース暗号化です。

フルディスク暗号化

フルディスク暗号化はAPIレベル19（Android 4.4 KitKat）で導入されましたが、APIレベル21（Android 5.0 Lollipop）の新機能によって本格的に普及しました。フルディスク暗号化では、単一のキーを使用してデバイスのユーザーデータパーティション全体を保護します。このキーはユーザーの認証情報で保護されており、ディスクのどの部分にアクセスする場合でも、起動時に認証情報を入力する必要があります。

これはセキュリティの観点からは非常に優れていますが、ユーザーが認証情報を入力するまでデバイスのほとんどの機能が利用できないという欠点もあります。つまり、デバイスを再起動してロックを解除していない状態では、アラームなどの一部の機能が動作せず、サービスも利用できず、電話の着信も受けられません。このため、2つ目の暗号化モードが作成されました。

ファイルベース暗号化

デバイス暗号化の2つ目のモードであるファイルベース暗号化は、APIレベル24（Android 7.0 Nougat）から利用可能になりました。このモードでは、個々のファイルがそれぞれ異なるキーで暗号化され、独立してロックを解除できます。この暗号化モードの導入に伴い、ダイレクトブートモードが追加されました。これにより、暗号化されたデバイスでもロック画面まで直接起動できるようになり、デバイスのロック解除前には利用できなかった機能が使えるようになりました。

ダイレクトブートにより、アプリはデバイスのロック解除前でも制限されたコンテキスト内で動作できるようになります。これにより、ユーザー情報を危険にさらすことなく、期待通りに機能し続けることが可能です。この機能を提供するために、Androidデバイスには2つのストレージ場所が必要です。

1. 認証情報暗号化ストレージ。デフォルトのストレージ場所で、ユーザーがデバイスのロックを解除した後にのみ利用可能です。
2. デバイス暗号化ストレージ。ダイレクトブートモード中、およびユーザーがデバイスのロックを解除した後に利用可能です。

アプリがダイレクトブートモードで実行中にデータにアクセスする必要がある場合は、デバイス暗号化ストレージを使用してください。ただし、セキュリティ上の影響には注意が必要です！デバイス暗号化ストレージは、機密データの保存には使用しないでください。デバイス暗号化ストレージは、デバイスの起動後すぐに利用可能になるキーで暗号化されます。ユーザーのみがアクセスすべきデータは、デフォルトの場所である認証情報暗号化ストレージに保存してください。

暗号化とは何か、なぜ重要なのかについて詳しく知りたい場合は、Secure Code Warriorポータルのビデオをご覧ください。また、チャレンジに挑戦して、暗号化に関する知識をテストすることもできます。

お使いのデバイスの手順ガイドが必要ですか？Pixel PrivacyのBill Hessによるこちらの記事をご確認ください。

新しい発見はありましたでしょうか。また来週お会いしましょう！

認証情報暗号化ストレージ。デフォルトのストレージ場所であり、ユーザーがデバイスのロックを解除した後にのみ利用可能です。

https://developer.android.com/training/articles/direct-boot.html