Androidのクリップボードとプライバシー：チャットのコピー後に残るもの

プライベートなチャットから住所をコピーし、地図に貼り付けて、次の作業に移る。メッセージの送信にはエンドツーエンド暗号化が使われていたとしても、コピーした住所は今やスマートフォン上で別に扱われています。クリップボードのプレビュー、キーボードに保存された項目、貼り付け先のアプリは、それぞれ別の確認場所です。

コピーしたからといって、暗号化が破られたわけではありません。復号後の読める情報が、アプリ間を移動したということです。このガイドでは、インストール済みのすべてのアプリが何でも読めると決めつけずに、Androidの保護機能と、不要なコピーを減らす実践的な方法を説明します。

元のメッセージだけでなく、コピーの行き先を追う

Androidのクリップボードの仕組みは、アプリ間で文章を受け渡せます。通常のテキスト項目には文章そのものが含まれますが、別の種類の項目にはデータへの参照が含まれる場合があります。システムのクリップボードが一度に保持するのは1つのクリップオブジェクトです。一方、キーボードやほかのアプリが独自の履歴を保存することがあります。つまり、現在の項目を置き換えても、あらゆる場所から削除されるわけではありません。Androidのコピー＆ペーストの仕組み。

確認する場所	残っている可能性があるもの	現在のクリップボードを消去しても確認できないこと
システムのクリップボード	現在コピーされている項目	ほかのアプリが一度も読んでいないこと
キーボードのクリップボード履歴	対応している場合、保存・固定された項目	別に保存されたこれらの項目も削除されたこと
端末間のクリップボードサービス	有効な場合、同期されたコピー	別の端末にコピーが残っていないこと
貼り付け先のアプリ	下書き、検索内容、メモ、送信済みメッセージ	貼り付け先が受け取った内容を削除したこと

これはコピーが存在し得る場所の見取り図であり、どのスマートフォンにも4種類すべてがあるという意味ではありません。実際の経路は、Androidのバージョン、キーボード、有効にしているサービスによって決まります。

Androidの保護機能でできること、できないこと

Android 10以降では、通常のアプリによるアクセスが制限されています。 クリップボードのデータにアクセスするには、原則として現在入力フォーカスを持っているか、選択中のキーボードなどの既定の入力方法である必要があります。「どのバックグラウンドアプリでも自由にクリップボードを読める」という古い説明は、これらの新しい制限を正確に表していません。これはアクセス範囲の制限であり、選択中のキーボードやフォーカスを持つアプリが信頼できる証拠ではありません。Android 10のプライバシーに関する変更。

Android 12では、クリップボードへのアクセス通知が追加されました。 この通知によって、アプリがほかのアプリからコピーされたデータにアクセスしたことが分かる場合があります。ただし、データがアップロードされたとまでは分かりません。メタデータだけの確認や一部の繰り返しアクセスなど、通知されない例外もあります。そのため、通知の有無は完全なアクセス記録にはなりません。Android 12の動作変更。

Android 13では、標準のコピープレビューと自動消去が追加されました。 気付かないうちにコピーされることを減らし、項目が利用可能なまま残る時間を短くする機能です。だからといって、保存済みのすべての項目が一定時間で消えると考えてはいけません。GoogleのセキュリティガイドはAndroid 13以降の自動消去を説明していますが、すでにほかの場所へコピーされた情報を遠隔で消去できるという保証ではありません。Androidの安全なクリップボード処理のガイド。

アプリは EXTRA_IS_SENSITIVE を使ってコピー内容を機密として扱うよう指定し、Android 13以降で内容のプレビュー表示を抑制できます。プレビューを隠しても文章が暗号化されるわけではなく、もともとクリップボードを読む権限のあるすべての読み取り元を遮断するものでもありません。特定のメッセージアプリがこのフラグを設定しているかどうかは、別途確認する必要があります。Androidの機密内容の取り扱いガイド。

キーボードの履歴とクラウド同期は別々に確認する

Gboardの公式ヘルプによると、クリップボードの履歴は使用後しばらくすると消去されますが、固定した文章は対象外です。システムの現在の項目がすべてだと思わず、キーボードのクリップボード画面を開いて、保存・固定された項目を確認してください。これはGboard固有の例であり、すべてのキーボードに当てはまるルールではありません。Gboardのクリップボードヘルプ。

端末間同期で別の行き先が増えるのは、その機能が有効になっている場合だけです。Microsoftは、SwiftKeyとWindowsのクラウドクリップボードについて、アカウントや同期の設定も含めて説明しています。また、予測バーで最近の項目を非表示にすることと、同期を無効にすることを区別しています。Microsoftによれば、このクリップボードデータは転送中に暗号化されます。ここでの問題は、許可された別の受信先が増えることであり、同期が暗号化されずに行われるという話ではありません。MicrosoftのSwiftKeyクラウドクリップボードの説明。

入力中に入力方法が何を見られるのか、より広く知りたい場合は、Androidのキーボードプライバシーガイドをご覧ください。クリップボードの保存は、端末上にあるその大きな境界の一部です。

本物の秘密を扱う前に、無害な内容で予行演習する

架空の例を考えてみましょう。ミナは暗号化されたチャットから打ち合わせ場所の住所をコピーする必要があります。機密情報を扱う前に、「紫のノート47」という架空の言葉で同じ操作を試します。

1. 言葉をコピーし、プレビューが表示されるか観察します。表示の有無が示すのは今回のコピー操作についてであり、アプリ全体の安全性ではありません。
2. 端末内のテスト用メモに貼り付けてから、キーボードのクリップボード画面で、保存・固定された項目がないか確認します。
3. 意図的に端末間のクリップボード同期を使っている場合は、自分のペアリング済みパソコンにテスト用の言葉があるか確認します。このテストのためだけに新しいサービスを有効にはしません。
4. 各アプリの操作機能で、テスト用メモと保存・固定された項目を削除します。システムの現在の項目を消去または置き換え、もう一度確認します。

この予行演習で分かるのは、目に見える保存状況や紛らわしい設定です。フォレンジック監査ではなく、隠れたコピーがないと証明することもできません。本物のパスワード、復元用フレーズ、顧客記録、プライベートなメッセージをテストデータに使わないでください。

より安全にコピー＆ペーストする習慣

• 必要な部分だけをコピーする。 名前、アクセスコード、無関係な情報を含む会話全体ではなく、住所だけをコピーしましょう。
• 貼り付ける前に行き先を確認する。 アプリ、アカウント、相手を確かめます。検索欄やクラウドメモでは、メッセージアプリと保存方針が異なる場合があります。
• 秘密を固定したままにしない。 キーボードに保存された項目やクリップボード管理アプリの履歴を見直します。不要になった項目は、それぞれの操作機能で削除してください。
• 端末間同期を意識して見直す。 用途に合わなければ無効にし、既存のコピーは別途確認します。機能をオフにしても、それまでのすべてのコピーが消去された証拠にはなりません。
• 使用後に残るものを減らす。 消去機能があれば現在の項目を消去し、なければ無害な文章に置き換えます。その後、キーボードの履歴と各行き先を別々に確認してください。上書きだけでは安全な消去とはいえません。
• システムとキーボードを更新する。 実際に使っているスマートフォンの操作機能を確認しましょう。メーカーの画面やキーボードのバージョンはさまざまで、共通の「すべてのクリップボードコピーを削除」ボタンはありません。

間違った場所に貼り付けた場合

まず、何が起きたかを確かめます。文章は未送信の下書きにあるだけなのか、サービスへ送信されたのか、別の人に送られたのか。可能なら目に見えるコピーを削除しますが、削除によって別のサービスや相手がすでに受け取った内容を取り戻せるとは考えないでください。

漏れたものがアクセス用の認証情報なら、そのサービスの公式の操作機能を使い、状況に応じて無効化や変更を行います。他人の機密情報なら、該当する報告手順に従ってください。その後クリップボードを消去すれば、さらなる誤貼り付けの一部は防げますが、最初の漏えいは取り消せません。

Livaraに当てはめて考える

Livaraが公開しているセキュリティ文書では、ロック解除された端末や侵害された端末の保護は約束しないと明記されています。クリップボードに関する問いは、もう少し限定的です。読める内容を自分の意思で会話の外へコピーすると、その後どうなるのでしょうか。本記事は、Livaraが特定のクリップボードの消去時間、機密フラグ、キーボード履歴の制御を実装していると主張するものではありません。実際に使うクライアントと、最新の文書を確認してください。

役立つ習慣はシンプルです。個人情報をコピーしたら、元のチャットだけでなく、新しい保存先も確認しましょう。