Androidアプリのセキュア設計・セキュアコーディングガイド
JSSECが2022年8 月29日版を公開

一般社団法人日本スマートフォンセキュリティ協会の技術部会 セキュアコーディングWGは、2012年6月に公開した『Android アプリのセキュア設計・セキュアコーディングガイド』（以下 本ガイド）の14版目の改定版である2022年8月29日版を公開した。

＜2022年8月29日版の改訂内容＞
本ガイドでは主に以下を更新。
【下記の新しい記事を追加しました】
• 4.1.3.8. マッチしない Intent のブロックについて
• 4.2.3.8. 動的 Broadcast Receiver の安全性の強化
• 4.6.3.8. Android 13（API Level 33）におけるメディアコレクション権限について
• 4.10.3.4. 通知に関する実行時の権限
• 5.2.3.10. 実行時の権限の取り消し
• 5.2.3.11. 新規インストールアプリでの sharedUserId の無効化
【下記の構成・内容を見直し拡充】
• 2.4. Android セキュアコーディング関連書籍の紹介
• 2.5. サンプルコードの Android Studio への取り込み手順
• 5.1.3.4. スクリーンキャプチャの無効化
• 5.5.3.6. 位置情報アクセスについて
• 6.1.3.2. Clipboard に格納されている情報の操作

今回は、最新版のAndroid 13における変更点を中⼼に改訂した。Android 13では、動的Broadcast ReceiverやNotificationなど、それまであった機能のうち、安全性の問題について指摘されることがあった機能のセキュリティ強化が変更点の中心となっている。また、セキュアコーディングとの親和性から、OWASP（Open Web Application Security Project）発行のリソースへのリンクについても、参考書籍として追記している。サンプルコードのAndroid SDKバージョンをAndroid 13（API Level 33）に変更し、Android 13端末でそのまま動作させることが可能なようアップデートしている。

＜本ガイド概要＞
本ガイドはAndroidアプリケーションのセキュリティを考慮した設計・開発のノウハウを集めた⽂書。アプリケーション開発現場で「使う」ことを想定した⽂書構成が特徴。各テーマの⽂書は、忙しい開発者向けに⼿本となるサンプルコードを紹介したサンプルコードセクション、サンプルコードの背景にあるセキュリティ観点の留意事項をまとめたルールブックセクション、さらにセキュリティの理解を深めるための話題をまとめたアドバンストセクションで構成されている。

【特徴】
　・開発者視点で構成された「使える」ガイド⽂書
　・コピーペーストして使える安全なサンプルコード付き！「Apache License 2」で商用利用可
　・タイムリーなノウハウ共有が前提、継続的な内容拡充・改善

『Android アプリのセキュア設計・セキュアコーディングガイド2022年8月29日版』
【ガイド文書（HTML）】
【ガイド文書（PDF）】
【サンプルコード一式（ZIP圧縮）】