多層防御：GemReader の PIN 入力およびウィンドウ保護アーキテクチャ

かつて学者や収集家が書斎の私文書を保管した際、その保護は物理的かつ完全なものでした。鍵付きキャビネットや独自の暗号は、解錠作業そのものが他者の目に触れないよう設計されていました。現代のモバイル読書環境において、重要な学習資料を保護するためにも同様の厳格さが求められます。しかし、OS 標準の入力機構には構造的な情報漏洩のリスクが潜んでいます。

多くのモバイルアプリは、OS のソフトウェアキーボードと直接連動する標準テキストフィールドを使用しています。日常のメッセージ送信には便利ですが、システムキーボードはサードパーティ製 IME、クラウド予測変換エンジン、バックグラウンドのアクセシビリティサービスによって常に監視されています。システムキーボードで暗証番号を入力すると、認証処理が始まる前にキーストロークがテレメトリやクリップボードに漏洩する恐れがあります。

サードパーティ製キーボードの攻撃対象領域を完全に排除するため、GemReader は保護ライブラリ（Locked Libraries）の解錠時に Android のソフトウェアキーボードを一切使用しません。標準の入力フィールドを配置する代わりに、カスタムタッチプリミティブのみで構築された専用のアプリ内キーパッドを表示します。

このカスタムキーパッドはアプリの隔離された UI ツリー内でのみ動作するため、Android OS がキーボード起動インテントを受け取ることはありません。タップ操作はメモリ上のコンポーネント状態を直接更新し、外部 IME にキーイベントを発行したり予測候補バッファに痕跡を残したりしません。オプションのマスキング表示により、正確なタッチ操作感を保ちながら周囲からの覗き見を防止します。

キー入力の遮断だけでは物理的なプライバシー対策として十分ではありません。画面のキャッシュ画像も極めて重大なリスクです。アプリを切り替える際、モバイル OS は最近使ったアプリ一覧に表示するために画面のスナップショットを自動保存します。適切なウィンドウ制限を行わないと、バックグラウンドに回った読書画面から本のタイトルや本文の抜粋が周囲に露出してしまいます。

Android は `FLAG_SECURE` というネイティブウィンドウフラグを提供し、画面キャプチャ、録画、画面共有、タスクスイッチャーのプレビュー作成をブロックします。しかし、モーダルダイアログや暗号化バックアップ確認画面が重なり合う複雑なアプリ構造では、単純な真偽値の切り替えだと競合状態が発生し、あるダイアログを閉じた際に対応する保護が誤って解除されてしまう危険があります。

GemReader は参照カウント方式の画面キャプチャ保護レジストリによりこの問題を解決します。保護対象のコンポーネントは表示時に一意のキーを登録し、破棄時に登録を解除します。アクティブな保護数が 1 以上の間は `FLAG_SECURE` を維持し、すべての登録コンポーネントが安全に終了したときにのみフラグを解除します。

多くの読書アプリにおいて、フォルダのロックは単に画面上の表示を隠すだけの表面的な処理にすぎず、端末内の EPUB ファイル自体は平文のまま保存されています。GemReader では、PIN の入力を単なる画面認証ではなく、暗号鍵のアンラップ（復号）処理として実行します。

保護ライブラリ内の書籍は、ローカルストレージ上で AES-GCM により暗号化されて保存されています。フォルダの PIN を入力すると、マスターシークレットと入力値から一時的な復号鍵が導出されます。EPUB データは読書セッション中のメモリ内でのみオンデマンドで復号されます。誤った PIN が入力された場合、鍵の導出は即座に失敗し、ストレージ内のデータは暗号化されたまま保護されます。

真のプライベート空間は形だけの信頼ではなく、検証可能な多層防御によって支えられるべきです。入力の隔離、参照カウントによる画面保護、そしてローカル AES-GCM 暗号化の組み合わせにより、GemReader はあなたの個人研究、学習ノート、大切な文書の機密性を強固に守り抜きます。

学術文献の研究であれ個人の思索ノートであれ、読書の営みはデータ収集や画面流出の脅威から保護されるべきです。完全オフライン設計、ローカル完結の鍵導出、多層ウィンドウ保護により、あなたの書棚のプライバシーを確実に保ちます。