ソフトウェアのアップデート

文字列として比べると、バージョン「2.9.1」は「2.10.0」よりあとに並びます。文字の9が1よりあとに来るからです。数として比べると、2.9.1のほうが古いバージョンです。

2.10.0は2.9.1より新しい？

ほかを読む前に試してみましょう。スマートフォンに、バージョン2.10.0が利用できると表示されています。今は2.9.1です。これはアップグレードでしょうか？下の練習を変えずに実行して、1行目を見ましょう。falseと表示されます。これはまちがいです。文字列は1文字ずつ比べられ、3文字目で9が1よりあとに来るので、比較はそこで止まり、10を見ることはありません。関数を直してから、続きを読みましょう。

アップデートが本当に運んでいるもの

大きなプログラムにはどれもまちがいがあります。そのまちがいの中には脆弱性があります。だれかがあなたのデバイスで自分のコードを実行したり、読むべきでないファイルを読んだり、アカウントを乗っ取ったりできてしまう欠陥です。作った会社が欠陥を見つけるか知らされると、修正を出します。これをパッチといい、アップデートの中に入っています。CISAのメッセージは短いものです。「後で通知する」を押さないこと。犯罪者はパッチを調べてどの欠陥が直されたかを知り、まだそれを入れていないデバイスをねらいます。ですから、アップデートが出た直後の数日間こそ、更新していないデバイスがいちばん危険にさらされるのです。

パッチが出る前に攻撃者が使う脆弱性をゼロデイといいます。作った会社が直すための日数がゼロだったからです。ゼロデイはニュースになります。それでも、成功する攻撃のほとんどは、ずっと前にパッチが出た欠陥を、修正を入れていないデバイスに使ったものです。CISAは、実際の攻撃で見つかった欠陥を一覧にした「既知の悪用された脆弱性（KEV）カタログ」を公開していて、米国の連邦機関は決められた期限までにそれらにパッチを当てることが義務づけられています。ほかの人にとっての教訓も同じです。アップデートが届いたら、すぐに入れましょう。

デバイスに自分でアップデートさせる

いちばん簡単な習慣は、自動アップデートをオンにすることです。CISAは、デバイスの設定の「ソフトウェア」や「セキュリティ」の項目を見るか、設定で「自動アップデート」を検索することをすすめています。自分でアップデートしないものもあるので、通知されたアップデートも入れましょう。一日中インターネットに向き合っているウェブブラウザーとセキュリティソフトを優先します。目立たないデバイスも忘れずに。家のルーター、スマートテレビ、カメラなどのネットにつながる機器もソフトウェアで動いていて、CISAのランサムウェア対策の手引きは、OS、アプリ、ファームウェアをまとめて、パッチを当て続けるべきものとして挙げています。

アップデートは、デバイス自体の設定か公式のアプリストアからだけ入手しましょう。ブラウザーが古いと突然表示してダウンロードをすすめるウェブページは、マルウェアを入れさせるよくある手口です。サポート終了にも注意しましょう。古いOSやデバイスのセキュリティアップデートを会社が出さなくなると、新しい欠陥は二度と直りません。KISAのサイト「ボホナラ」は、広く使われているソフトウェアのサポートが終わるときにお知らせを出し、アップグレードするか、まだサポートされているものに切りかえるよう助言しています。

アップデートは再起動しないと効かないことが多く、再起動待ちのアップデートはまだあなたを守っていません。一日の終わりなど時間を決めて、デバイスが求めたら再起動させましょう。スマートフォンでは、アップデートをダウンロードできるだけの空き容量を残しておきます。容量がいっぱいなのは、アップデートが知らないうちに止まるよくある原因だからです。月に1回、それぞれのデバイスのアップデート画面を開いて、最新の状態と表示されているか確かめましょう。