モバイルアプリの暗号化 — 基礎、アルゴリズム、動作原理

モバイルアプリケーションにおける暗号化とは？

モバイルアプリケーションの文脈における暗号化とは、デバイスに保存されたデータ（data at rest）とネットワークで送信されるデータ（data in transit）を保護するための暗号アルゴリズムの適用です。デバイスレベルでは、ローカルストレージ（ファイル、データベース、SharedPreferences、キャッシュ）が暗号化されます。ネットワークレベルでは、アプリとサーバー間のトラフィックがTLS/HTTPSプロトコルを介して暗号化されます。最終的な目標は、デバイスへの物理的アクセスやトラフィックの傍受があったとしても、攻撃者が暗号鍵なしでは保護されたデータを読み取れないようにすることです。

モバイルアプリケーションに暗号化が必要な理由

モバイルデバイスはデータ損失に対して特に脆弱です。スマートフォンは簡単に紛失、盗難、またはマルウェアに感染する可能性があります。Ponemon Institute（2023年）によると、データ漏洩の被害に遭った企業の42%が、その原因をモバイルデバイスに起因するとしています。暗号化がない場合、攻撃者はUSBを介してデバイスに接続し、SQLiteデータベースを抽出して保存されたすべてのデータを読み取ることができます。暗号化はこの問題を解決します。データベースが抽出されても、その内容は暗号化されたままです。さらに、米国とEUには個人データの暗号化を義務付け、違反に対して年間売上高の最大4%の罰金を科す法律（GDPR、CCPA）があります。暗号化の使用は、ユーザーデータを扱うモバイルアプリケーションにとって技術的な必要性であるだけでなく、法的な必要性でもあります。

対称暗号化と非対称暗号化

すべての暗号化アルゴリズムは、対称型（暗号化と復号に1つの鍵を使用）と非対称型（公開鍵と秘密鍵のペアを使用）の2つの主要なタイプに分類されます。タイプの選択は使用シナリオによって異なります。ローカルデータの暗号化には、その速度から対称アルゴリズムがよく使用され、鍵交換と認証には非対称アルゴリズムが使用されます。

実際には、モバイルアプリケーションではハイブリッド暗号化が使用されます。非対称アルゴリズム（例：ECDH）でセッション鍵を交換し、以降のすべてのデータを対称アルゴリズム（AESまたはChaCha20）で暗号化します。このアプローチは、対称暗号化の速度と非対称鍵交換のセキュリティを組み合わせたものです。この方式はTLS 1.3、Signal Protocol、Apple iMessageの基盤となっています。

主要な暗号化アルゴリズム

最新のモバイル開発では、それぞれ特定のタスク向けに設計された、いくつかの標準化された暗号化アルゴリズムが使用されています。

• AES（Advanced Encryption Standard） — 2001年にNISTによって認定された対称ブロック暗号。128、192、または256ビットの鍵を使用します。推奨モードはGCM（Galois/Counter Mode）で、認証付き暗号化を提供します。AES-256はAndroid Keystore、iOS Keychain、およびすべての最新TLSプロトコルで使用されています。
• ChaCha20-Poly1305 — Daniel Bernsteinによって開発された対称ストリーム暗号。AES-256と同等のセキュリティを提供しますが、ハードウェアAESアクセラレーションがないデバイス（典型的な低価格Androidスマートフォン）ではより高速に動作します。ChaCha20はTLS 1.3でAES-GCMの代替として使用され、Signal Protocolの主要暗号です。
• RSA（Rivest-Shamir-Adleman） — 鍵の暗号化とデジタル署名に使用される非対称アルゴリズム。推奨最小鍵サイズは2048ビットです。RSAはECDHより低速なため、最新のモバイルアプリケーションでは楕円曲線暗号（ECC）に置き換えられつつあります。
• ECDH（Elliptic Curve Diffie-Hellman） — 楕円曲線に基づく非対称鍵交換プロトコル。Perfect Forward Secrecyを提供し、TLS 1.3でデフォルトで使用されています。Curve25519（X25519）曲線がモバイルアプリケーションで最も一般的です。

暗号化がユーザーデータを保護する仕組み

暗号化は、デバイスの紛失（ディスクとアプリコンテナの暗号化）、トラフィックの傍受（TLS/HTTPSネットワークプロトコル）、サーバーからの漏洩（エンドツーエンド暗号化）の3つの主要なシナリオでデータを保護します。各シナリオには独自のアプローチとツールが必要です。

保存データと転送中のデータ

保存データ — デバイス上のデータ — はAndroid KeystoreとiOS Keychainを介して暗号化されます。Android 7.0以降ではファイルベース暗号化（File-Based Encryption）が使用され、アプリはAndroidX SecurityライブラリのEncryptedSharedPreferencesとEncryptedFileを介してデータを追加で暗号化できます。iOSでは、すべてのアプリがデフォルトでData Protection APIと連携し、デバイスのパスコードに紐づく鍵でファイルシステムレベルでファイルを暗号化します。転送中のデータには、必須のCertificate Pinningを伴うTLS 1.2/1.3が使用されます。

エンドツーエンド暗号化

エンドツーエンド暗号化（E2E）は、メッセージが送信者のデバイスで暗号化され、受信者のデバイスでのみ復号される、最高レベルのデータ保護です。保存と転送を行うサーバーはコンテンツにアクセスできず、暗号化されたブロブのみを処理します。モバイルアプリケーションで最もよく知られているE2E実装はSignal Protocolで、初期鍵交換にX3DH（Extended Triple Diffie-Hellman）と組み合わせてDouble Ratchet Algorithmを使用します。Signal ProtocolはPerfect Forward Secrecyと将来秘匿性を提供します。1つの鍵が侵害されても、以前や以降のメッセージは明らかになりません。カーネギーメロン大学（2023年）の研究によると、メッセージングアプリのE2E暗号化は、TLSのみの暗号化と比較して、通信漏洩のリスクを99.7%削減します。GDPRおよびHIPAAの要件に従い、Health & FitnessおよびFinanceカテゴリのアプリケーションではE2Eが必須です。独自のプロジェクトでE2Eを実装するには、Signal Protocolライブラリ（Java/Swift）またはOlm（Matrixプロトコル）ベースのライブラリを使用することをお勧めします。E2Eソリューションを選択する際は、プラットフォームの互換性を評価してください。Signal Protocolは非同期送信とクライアント側の鍵保存を必要とし、マルチデバイスシナリオを複雑にします — そのような場合、Matrix Protocolとそのルームモデルがより適切な選択となる可能性があります。

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val encryptedFile = EncryptedFile.Builder(
    context,
    File(context.filesDir, "secret.dat"),
    masterKey,
    EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB
).build()

encryptedFile.openFileOutput(applicationContext).use { outputStream ->
    outputStream.write("Sensitive user data".toByteArray(Charsets.UTF_8))
}