Androidロックスクリーンの脆弱性から身を守る方法：パスワード変更とPINコード設定のすすめ

Androidは世界で圧倒的なシェアを誇るモバイルOSです。2014年には10億台が出荷され（2位のAppleを8億台上回る）、市場シェアは82％に達しています。

これはGoogleにとって朗報である一方、脆弱性が発見された際の影響範囲が非常に大きくなるというリスクも意味します。たったひとつのバグや欠陥が、地球上の膨大なユーザーに被害をもたらしかねないのです。

残念ながら今週初め、テキサス大学の研究者たちによって、新たなAndroidセキュリティ脆弱性が発見されました。本記事では、その脆弱性の内容と、自分を守るためにできる対策を詳しく解説します。

脆弱性の内容は？

最新のAndroidスマートフォンでは、ロックスクリーンを「PINコード」「パターン」「パスワード」の3つの方法で保護できます。今回問題となったのは、このうちパスワードを選択しているユーザーです。

研究者たちは大学の公式サイト上で、次のように説明しています。「カメラアプリが起動している状態で、パスワード入力欄に十分に長い文字列を入力すると、攻撃者はロックスクリーンを不安定化させ、ホーム画面へクラッシュさせることができる」

実際には、これによりハッカーはスマートフォン本体、連絡先、アプリ内の個人情報、クラウドストレージなど、多くのプライベートデータへアクセスできてしまいます。高度な技術的トリックは一切不要で、道端で落とし物のスマホを拾った普通の人でも侵入できてしまうレベルです。

このハッキング手法は、「緊急通報」のダイヤルパッドにランダムな文字列を入力し、カメラのシャッターボタンを繰り返し押すことで成立します。するとロックスクリーンが異常を起こし、最終的に端末が再起動してホーム画面が表示されてしまうのです。

ホーム画面に入られてしまえば、ファイルシステムが暗号化されていても無意味です。ハッカーは端末へのフルアクセスを獲得し、開発者向けオプションを有効化することさえ可能になります。

実際のハッキングの様子は、以下の動画で確認できます。

自分は危険なのか？

幸い、すべてのAndroidバージョンにこの脆弱性があるわけではありません。影響を受けるのは、Android Lollipop（5.0〜5.1.1）を搭載したデバイスのみです。

また前述の通り、ロックスクリーンの保護に「パスワード」を使用している場合に限られます。PINコードやパターンを利用していれば安全です。

この2つの条件により被害者の数は限られますが、皮肉なことに、最もセキュリティ意識の高いユーザーこそが標的になりやすいという側面があります。「長いパスワードの方がPINやパターンより安全だ」と信じてパスワードを選んだ人ほど、逆に危険にさらされるのです。この抜け穴は、「何事も思ったほど安全ではない」という教訓を私たちに示しています。

どんな対策ができる？

最も重要なのは、できるだけ早くロックスクリーンの保護方法を見直すことです。

この脆弱性は、Googleが先週リリースしたAndroid 5.1.1ビルド「LMY48M」で修正済みです。ただし現時点でアップデートが提供されているのは、Nexus 4、5、6、7、9、10のみです。

すでに配布は開始されていますが、まだOTA（自動アップデート）が届いていないというユーザーの報告も複数あります。その場合は、googlesource.comから新しいビルドを手動でダウンロードすることが可能です。

Nexusを持っていない方、あるいはまだアップデートが届いていない方は、少なくともロックスクリーンの認証方法をPINコードに変更しておきましょう。

パターンよりもPINコードを選ぶべき理由

Androidのロックパターン（ALP）は2008年から存在し、多くのユーザーに利用されてきました。しかし最近のある研究者は、ALPは「password」「12345678」「qwertyuiop」といった安易なパスワードと同じくらい危険だと指摘しています。

指摘したのは、ノルウェー科学技術大学の2015年卒業生マルテ・レーゲ（Marte Løge）氏です。彼女の調査によると、驚くことにALPの44％が左上隅からスタートし、実に77％が4つの角のいずれかから始まっていました。

さらに、最大9つのノード（点）を選択できるにもかかわらず、ほとんどのALPはわずか5ノードしか使われていませんでした。これにより組み合わせの総数は389,112通りからわずか7,152通りまで減少します。4ノードのみの場合は、さらに1,624通りまで落ち込みます。

彼女はこう語っています。「人間は予測可能です。パターンロックを作成する際に使われる要素は、PINコードや英数字パスワードで見られるものと同じです」

どうしてもALPを使いたい場合は、パターンを複雑にすることを心がけ、家族やペットのイニシャルを模した形は避けてください。彼女の研究によれば、イニシャルを使った場合、攻撃者が100回以内の試行でパターンを当てられる確率は10分の1にもなるといいます。

下の画像は最もよく使われるALPの一覧です。もし自分のパターンが含まれていたら、すぐに変更しましょう。

常識的なPINコードを選ぼう

つまり、Androidデバイスを最も安全に保護する方法はPINコードの使用ですが、それでも守るべき基本的なセキュリティガイドラインがあります。

例えば、銀行カードやその他PINが必要なログインとは別のコードを使用してください。オンラインアカウントすべてに同じパスワードを使うと脆弱性が高まるのと同様に、同じPINを使い回すと、使い回すごとにシステム全体の有効性が低下します。加えて、記念日、誕生日、繰り返し数字（例：1111）も避けましょう。

Microsoftもこの考え方に賛同しています。同社は最近、Windows 10ユーザーに対しログインにPINコードを使うよう推奨しました。その理屈はこうです。パスワードが破られるとハッカーはMicrosoftアカウント全体にアクセスできますが、PINが破られても被害はその個別のデバイスにとどまる、というものです。

セキュリティ対策は済ませましたか？

あなたは該当するユーザーの一人でしょうか？すでにどんな対策を講じましたか？

この脆弱性を知って、Androidの安全性が心配になりましたか？他にもどんな脆弱性が潜んでいるのでしょうか？OSの断片化を考えると、まだ発見されていない脆弱性が他にもきっと眠っているはずです。

あるいは、独自の斬新な認証方法をご存じですか？

いつものように、皆さんの声をお待ちしています。ご意見やご感想は、下のコメント欄でお聞かせください。