Androidのセキュリティ：Googleのアップデート要求が不十分な理由

GoogleがAndroidに関して切実に改善を望んでいる点が一つあるとすれば、それはアップデートです。PixelやAndroid Oneスマートフォンを買わない限り、アップデートがリリースされたらすぐに入手できるのか、あるいはそもそもアップデートが入手できないのか、全く確信が持てません。

1,000 ドルの Galaxy Note 9 を購入する場合でも、それよりずっと安いものを購入する場合でも、6 か月後、12 か月後、または 24 か月後に私の携帯電話に何が起こるのかという疑問があります。

Googleは現在、誰もがこの質問に同じ答えを返せるように努めている。The Vergeの報道によると、Googleの最新のAndroidパートナー契約には、対象となるOEMが将来のスマートフォンの承認を失うことを防ぐために、最低2年間のセキュリティアップデートを義務付ける文言がようやく盛り込まれたという。

紙面上では確かに良さそうに聞こえますが、Googleが強硬な姿勢を取っているわけではありません。要件は可能な限り緩く、比較的少数のスマートフォンにのみ適用されます。The Vergeの報道によると、利用規約は以下のとおりです。

2018 年 1 月 31 日以降に発売されたデバイスが対象です。
アクティベーション回数が 100,000 回以上の携帯電話に適用されます。
最初の 1 年間は四半期ごとのセキュリティ更新のみを規定します。
2年目のセキュリティ更新には最低限の費用を課さない。
バージョンアップデートについては言及しません。

いつもと同じ

多くのユーザーにとって、状況はそれほど変わりません。Samsungはすでに、Huawei、LG、Lenovo、Nokia、Sonyなどのメーカーと同様に、少なくとも年に4回はスマートフォンのセキュリティパッチをアップデートしています。実際、一部のスマートフォンでは、Googleの最低限の要件を満たすことは、アップデート回数を増やすのではなく、減らすことに繋がります。

メイト20ノッチ — Huawei のような携帯電話メーカーはすでに、年間 4 回を超えるセキュリティアップデートを提供しています。

それほど頻繁にアップデートされないスマートフォンでも、状況はそれほど変わらないでしょう。契約を文字通りに解釈すると、Googleは24ヶ月間で5回のアップデートのみを義務付けています。つまり、セキュリティパッチが大幅に遅れているスマートフォンは、来年の今頃もセキュリティアップデートが大幅に遅れている可能性が高いということです。

例えば、2019年1月15日に発売されたスマートフォンが、アクティベーションの基準となる販売台数10万台に達したとします。来年10月までにAndroid 8 Oreoが稼働し、7月のセキュリティパッチが適用された状態でも、技術的にはGoogleとの契約に完全に準拠している可能性があります。

いいかい、これは遅いとはいえ、良いスタートだ。Androidは9回目のメジャーリビジョン、全体では16回目のリビジョンを迎えているのに、Googleはようやくパートナー企業にセキュリティアップデートの義務化を始めました。でも、この変更には賛成だ。ただ、Googleにはもっと踏み込んでほしかった。

毎年12回のセキュリティアップデートがあるのに、なぜ4回だけしか義務付けないのでしょうか？バージョンアップデートはどうでしょうか？Androidの新しいリリースには、アップデートを受けられる幸運な少数のユーザーだけでなく、すべてのAndroidスマートフォンが恩恵を受けられる、セキュリティ、パフォーマンス、そして安全性に関する多くの機能が含まれています。なぜGoogleは、Androidスマートフォンの販売時点で少なくとも1回のバージョンアップを義務付けないのでしょうか？

最低限

GoogleはAndroidに関して、ある意味で岐路に立たされている。それは単に「Q」で始まる新しい機種を開発しなければならないからだけではない。Googleは3機種目のPixelスマートフォンで、自社製品について2年間で5回のアップデートを約束するだけでなく、3年間で36回のセキュリティアップデートと2回のフルバージョンアップを約束している。確かに、多くの小規模OEMにとっては負担が大きすぎるかもしれないが、半年間のアップデートはどうだろうか？あるいは、100万台以上販売されたスマートフォンのアップデート制限を引き上げるのはどうだろうか？

Pixel 3 XL フルサイズ — Pixel では毎月のセキュリティアップデートが求められるのに、他のスマートフォンでは四半期ごとのアップデートで十分なのはなぜでしょうか?

Googleは、より厳しい要求を突きつける立場にある。例えば、EUの裁判所がChromeなどのアプリをAndroidライセンスにバンドルすることを禁じた判決を受け、GoogleはPlayストアなどの必須アプリを無料版Androidに同梱するために料金を徴収すると報じられている。かつて無料で提供していたアプリを1台あたり40ドルも請求できるのであれば、年間わずか6回のセキュリティアップデートを要求するのも当然だろう。

ここで話題にしているのは、新機能やUIの刷新ではありません。セキュリティアップデートは既存のコードにパッチを当てるものであり、メーカーにとって実装が過大な負担になるべきではありません。Android Oneスマートフォンで月次アップデートが可能なのであれば、なぜ他のスマートフォンではできないのでしょうか？Google自身の言葉によれば、「90日ごとのアップデートは最低限のセキュリティ対策要件を満たす」とのことですが、Googleは自社OSを搭載したスマートフォンに、必要最低限以上のものを求めるべきではないでしょうか？

したがって、セキュリティに関して Android スマートフォンにある程度の統一性をもたらしたこの動きは私たち全員が称賛できるものであり、私はこれが今後さらに良いことが起こる第一歩に過ぎないことを願っています。