【質問】 Webサイトを WebView で包んだ「ガワアプリ」は、今回の eMudhra 中間CA侵害に対して安全か？ ■結論 プラットフォームで明確に差があります。iOS はほぼブラウザ並みに安全、Android は「ブラウザではないクライアント」側に分類すべきです。デスクトップのガワ（Electron など）はさらに弱いです。 ■iOS（WKWebView / SFSafariViewController） ● WKWebView は OS の証明書検証を使い、Apple は 2018年以降に発行された公開証明書に OS レベルで CT を強制しています。Safari と同じ扱いなので、ログにない偽証明書は拒否されます。 ● 加えて Apple は 10月19日からトラストストアで該当中間CAをブロック済み。OS が最新なら、アプリ側の更新なしで守られます。 ● アプリ内で NSURLSession を使う API 通信も同じ OS 検証を通るため、同様に安全です。 ■Android（WebView） ● Android WebView は Chrome ベースですが、証明書検証は Chrome のものではなく OS のハンドラに委ねています。Android WebView アプリは不正な証明書チェーンの 77.0% を受け入れ、不正な中間CA証明書のテストはすべて通過させており、主要ブラウザや iOS アプリより大幅に弱い。原因は Android WebView がシステムレベルの証明書検証ハンドラに依存しており、最小限のチェックしか行わず、Precertificate などの拡張に対応していないことにあるという研究があります。つまり CT は強制されません。 ● Chrome 本体は CRLSets で中間CAをブロックしていますが、WebView はその恩恵を受けません。守られるかどうかは Android のシステムトラストストアが更新されるかにかかっており、今回の文書のパッチ済み一覧に Android は載っていません。 ● 最近の Android では Network Security Config で CT を有効化するオプションが追加されていますが、アプリ側の明示的な設定（オプトイン）が必要です。既存アプリで設定していなければ無効です。 ● Capacitor、Cordova、React Native の WebView 系も中身は同じ Android WebView なので同じ評価になります。 ● アプリ内の API 通信（OkHttp、HttpURLConnection）も OS のトラストストアを使うため同様です。CT ライブラリの追加か証明書ピンニングをしていない限り、偽証明書を信用します。 ■デスクトップのガワ ● Electron は自前の Chromium を同梱しており、CT 強制も CRLSets も効きません。文書にあるパッチ済みバージョン（44.9.1 / 43.8.1 / 42.11.16）にアプリ側がアップデートする必要があります。 ● Tauri は OS の WebView を使います。Windows（WebView2）は Windows のトラストストアを参照するので自動CTL更新でブロック済み、macOS（WKWebView）も安全、Linux（WebKitGTK）はディストリの ca-certificates 更新待ちです。 ■現実的な整理 ● iOS のガワアプリ: OS 更新で OK。アプリ対応は不要。 ● Android のガワアプリ: Android の trust store 更新状況が不透明なため、現時点では「未対応クライアント」として扱う。確認には、端末から文書のテストURL（dv-g3b-emudhra.we-have-a-pro…）に WebView からアクセスし、エラーになるかを見る。 ● 自社で Android ガワアプリを納品している場合: 恒久対策は証明書ピンニング（接続先が固定なので相性がよい）か、CT 検証ライブラリの組み込み。Network Security Config で信頼する CA を接続先が使うものだけに絞るのも有効です。 ● Electron 製の業務ツール: バージョン確認と更新。社内配布ツールで放置されがちな領域です。