ただのにっき

■ HTC Android端末のスクリーンショット付きブックマークはセキュリティホールか?

miyagawaさんから教えてもらったのだけど、HTCのDROID Incredibleにセキュリティホールが見つかっているらしい。miyagawaさんとのやりとりからわかったのは(なにしろ英文の理解は相変わらず貧相なので):

• ブラウザの「スクリーンショット付きブックマーク」に他人に見られたらよくない情報が含まれ得ること
• それが簡単には削除できない(工場出荷状態に戻しても消えない)場所にあること

が問題らしい。デフォルトのブラウザにはたしかに、そのページのスクリーンショットが見られるブックマーク機能があるけど、あれがHTCの独自拡張とは知らなかったよ。たしかに上記のとおりならセキュリティ問題になるだろう。

さて、我がDesireはというと、たしかに.bookmark_thumb1というディレクトリはある。ただしSDカード上に。中にはJPEGファイルがいっぱい入っていて、まさにブックマークのスクリーンショットが詰まっていた。自分の意識していない状況下で撮られたスクリーンショットもあるので、これはあんまり気持ちのいいものではないな。

ファイラで端末の内部メモリを探してみたが、(Desireに関しては)同名のディレクトリは発見できなかった。Incredibleの方が新しい(のかな?)ので、どこかで仕様変更があったのだろうか。

この問題についてTwitterで識者の意見を求めてみたものの、ほとんど反応がなかったので、日記にも書いておくことにした。ちなみに自分はすでにDolphineブラウザに乗り換えているので、今後この機能を使う予定はない。.bookmark_thumb1をサクっと削除して対応完了……と思うのだが、はて、ファイラから見えないディレクトリなんてものがあったらお手上げである。

というわけで、Androdid識者がここを読んでいたら教えてもらいたいのだけど、Desireにおけるブックマーク・スクリーンショットの保存場所は/sdcard/.bookmark_thumb1だけなのだろうか? もしそうなら、対処は簡単でいいのだけど。

Androidに簡単なスクリーンショット機能がない理由が、このようにユーザの意図しないスクリーンショットがバックグラウンドで動作しているアプリから撮影されてしまうリスクがあるためと説明されている。その回避方法について先のエントリのツッコミ欄で議論している。

今回のは(おそらく)ブラウザが自分のレンダリングエンジンからひっぱってきたデータを保存しているだけなので、いわゆるスクリーンショットとは違うが、ユーザが意図しない(場合がある)ため同様なリスクがある。他のアプリから参照可能な普通のJPEGファイルなので、暴露ウィルスみたいなものに引っかかったら困ったことになりそうだ。

とはいえ、これをセキュリティホールと言ってしまうと、任意のタイミングでスクリーンショットが撮れるPCはどうなんだという話になるわけで、セキュリティホールとは言えないと思うけど(PCと携帯では基準が違うだろ、という議論はありだが)。