メッセンジャーで友人を見つけることと、アドレス帳のプライバシーを守ることは、同じ問題ではありません。アプリはどの識別子がサービスの利用者に属するかを判定する必要がありますが、その照合方法によってサービスに渡る情報が決まります。電話番号をハッシュ化するだけでは、その番号を特定できないという保証にはなりません。
ハッシュ化された番号を特定できるのはなぜか
ハッシュ関数は入力を固定長の値に変換します。しかし、電話番号の候補空間は限られており、構造もあります。攻撃者はありそうな番号を生成してハッシュ値を計算し、一致を探せます。これは「ハッシュの復号」ではなく、推測可能な入力を試すことです。
Signal はプライベートな連絡先発見の問題に関する説明で、多様性の低い識別子が持つこの制約を明確に述べています。同じ記事では、信頼できる実行環境に基づく設計も紹介しています。バージョンや新しい文書を確認せずに、この過去の例をすべてのメッセンジャーへ一般化すべきではありません。
したがって、「サーバーにはハッシュしか見えない」という説明は、プライバシーの問いに対する完全な答えではありません。誰が照合を計算でき、どのリクエストが記録され、データがどのくらい残るかを明らかにする必要があります。
連絡先の権限は何を許可するのか
連絡先の読み取り権限は、アプリがアドレス帳のデータにアクセスできるようにするものです。それ自体は、アプリがそのデータをアップロードするかどうかを示しません。連絡先の氏名、番号、メールアドレス、メモは機微な情報になり得ます。サービスに参加していない人の情報を含む場合は、特にそうです。
Android の Contacts Provider 文書は、アドレス帳を広く読み取ることと、システムの画面から一人の連絡先を選ぶことを区別しています。アクセス範囲は実装方法と OS のバージョンに依存します。
| 連絡先を見つける方法 | 考えられる利点 | 確認すべき点 |
|---|---|---|
| ユーザー名や招待リンクの共有 | アドレス帳全体を読む必要がない場合がある | 識別子を検索できるか、他人がアカウントを見つけられるか |
| 少数の連絡先を選択 | アプリに渡るデータが少なくなる | アプリが受け取るのは選択した項目だけか |
| 番号やハッシュの一覧をアップロード | 登録済み利用者との照合が容易になる | 番号の推測、リクエストの記録、一覧の保存の可能性 |
| 専用のプライベート発見プロトコル | 特定の脅威モデル内で開示を減らせる | 信頼の前提、制約、独立したレビューの証拠 |
メッセージの暗号化はアドレス帳について何を証明しないのか
エンドツーエンド暗号化は会話の内容をサーバーから隠せますが、それだけでは連絡先の権限、利用者検索のリクエスト、通信関係の記録について何も分かりません。アドレス帳がなくても、ルーティング情報から通信関係の一部が分かる場合があります。
Livara のセキュリティページは、グループ所属、時刻、ルーティングなどの運用情報の保存と処理を説明しています。この文書から、アドレス帳が特定の方法でハッシュ化されること、履歴が一切保存されないこと、ソーシャルグラフが完全に隠れることは導けません。こうした主張には、連絡先発見についての別の説明が必要です。
権限を与える前に聞くべき五つの質問
- 連絡先の権限がなくても、ユーザー名や直接の招待でチャットできますか？
- デバイスから出るのは正確にどの項目ですか。番号だけですか、それとも氏名などの詳細も含みますか？
- サービスに参加していない人の情報は、どのように使われ、削除されますか？
- 権限の取り消しは将来のアクセスだけを止めますか。それとも送信済みデータを削除する方法もありますか？
- 技術説明とデータ保持方針は、現在のアプリのバージョンと整合していますか？
システム設定でアプリの権限を確認し、友人の自動発見が不要なら、不必要なアクセスを制限してください。項目名はスマートフォンによって異なります。権限を取り消すことを、すでにアップロードされた情報の削除と同一視しないでください。
連絡先のプライバシーは、データの最小化とその行き先の明確さで評価されます。電話番号の横に「ハッシュ」という言葉があるだけでは評価できません。
