Changが、AndroidはiOSよりセキュリティが弱いと発言したそうだ。私もそう思うが、理由は違う。Microhttp://news.cnet.com/8301-13506_3-20028262-17.htmlこの記事に、「2010年7月には複数のセキュリティ専門家が、AndroidとiOSはいずれも『同程度の』セキュリティを確保しているが、これを実現する方法が異なっているとの見解を明らかにした」と書いてある。翻訳版では原典が分からないが、記事原文にはリンクが張ってある。matchedhttp://news.cnet.com/8301-27080_3-20009362-245.htmlChang氏やセキュリティ専門家たちが焦点を当てているのは、あとからインストールするアプリケーションが携帯電話内のデータに不正にアクセスできるかどうかという点である。Androidは、アプリケーションがどのデータにアクセスできるか、どんなことができるかについて、インストール時にユーザの承認を求める。iPhoneの場合、アプリケーションはすべて同じ範囲のデータにアクセスできる(位置情報だけはユーザの承認が必要)。AndroidのアプリケーションはGoogleによる事前承認がないので、悪意のあるソフトウェアが流通してしまう可能性が高い。Appleの事前審査はそういったソフトウェアを排除するのに役立つが、いったん承認されたソフトウェアが、悪意のあるコードをダウンロードする可能性もある。どちらのプラットフォームにも長所と弱点があり、ほぼ互角という結論である。これらの記事は、OSのセキュリティ脆弱性が見つかったあと、どのようにしてそれを修正するかという点について触れていない。ソフトウェアには必ず脆弱性がある。それを迅速に修正するという点に関して、現時点ではiPhoneに軍配が上がる。iOSは、Appleが修正版を出せば、すぐにエンドユーザが入手してiPhoneをアップデートできる。バージョン番号の3桁目の小規模リリースで脆弱性を修正した実績もある(注1)。Androidは、Googleが修正版をリリースしたあと、携帯電話メーカやキャリアのテストを経てエンドユーザに届けられる。他のAndroid携帯との差別化のためにUIやアプリケーションを作り込んでいると、アップデート版のリリースに時間がかかることが考えられる。1.6で発売され、アップデートできるようになるまでには、約半年かかった。アップデート先は最新の2.2ではなく2.1である。任意のコードが実行できるというWebKitの脆弱性は修正されていない(注1)。auのIS01はアップデートすらしない(注2)。Androidのアップデートが比較的大規模のものなのも、メーカやキャリアの対応が遅れる原因ではないだろうか(これは今後変わるかもしれない)。iOSもAndroidもサンドボックス化によって、悪意のあるコードから他のプロセスやデータを守っている。iOSのPDF脆弱性が示したように、ソフトウェアのバグによってこの防御機構が破られ、root権限を奪われることがある。root権限を奪われたら為す術がない。Androidに似たようなバグがあっても不思議ではない。完璧なソフトウェアは存在しないからである。CoverityがAndroidのソースコードを解析したところ、88個のハイリスクなものを含めて、セキュリティ脆弱性に繋がりかねない潜在的な問題が359個見つかったそうだ(注4)。ソースコードが公開されていないiOSで同じ分析を第三者がおこなうことはできないが、Appleとて人の子。状況はさほど変わらないだろう。アプリケーションがアクセスできるデータについてユーザの確認を求めるAndroidの画面も、実際には防御にならない。セキュリティに関心が高いユーザ以外は、何のためらいもなく承認してしまうだろう。PCのブラウザを使っているときに、送信する情報が暗号化されていないという警告や、サイトのSSL証明書が不正だという警告が出たとしても、平均的なユーザは特に気にも留めずOKボタンをクリックしているはずだ。そのサイトを使いたい、そのアプリケーションを使いたいという欲求の前には、ソフトウェア開発者が表示する警告画面は無力である。何か問題が起きたときに、「我々は警告したはずだ」と言い訳できるくらいだ。以上のように考えると、少なくとも現状ではiPhoneの方がより安心して使える。常に最新版のiOSにアップデートすることが前提である。Android陣営のGoogleや携帯電話メーカ/キャリアが脆弱性の修正についてどのように対応していくか、目を離せない。携帯電話のセキュリティで最も大事なのは、置き忘れたときにデータを盗まれないようパスワードでロックしておくことと、紛失したり壊したりしてもデータを失わないようにバックアップを取っておくことだ。»コメントコメントを書く名前:メールアドレス:(ウェブ上には掲載しません)アドレス(URL):この情報を登録するコメントは記事投稿者が公開するまで表示されません。ITプロフェッショナルの仕事術)。