プッシュ中継を取り除くと配信への参加者は変わりますが、ルーティングメタデータが消えるわけではありません。
Android 通知のプライバシーは、チャット自体の暗号化だけでは決まりません。プッシュサービスは、読めるチャット本文を受け取らずに通知をルーティングできますが、それでも配信には関与します。直接接続はその特定の仲介者を取り除きますが、メッセンジャーのサーバーやネットワークからメタデータを消すものではありません。
したがって、有益な比較は「FCM はすべてを漏らし、ソケットはすべてを隠す」ではありません。どのデータがどの当事者に届き、選んだ設計がバックグラウンドでどれだけ確実に動き、ユーザーが何を確認できるか、という比較です。
FCM が運ぶもの
Firebase Cloud Messaging は、プラットフォームが表示できる通知メッセージと、アプリのコードが処理するデータメッセージを区別しています。ペイロードには、読める通知文、暗号化データ、またはアプリに更新の取得を促す最小限の信号を含められます。それぞれプライバシーへの影響は異なります。FCM のメッセージタイプ。
Firebase の文書は、送信サーバー、FCM、端末の間を TLS で保護すると説明する一方、FCM がアプリケーション層の E2EE を自動的に提供するわけではないと明記しています。機密性の高いペイロードには、トランスポート層より上で適切な保護が必要です。私的なメッセンジャーでは、その保護が意図したエンドポイント境界を維持する必要があります。すでに平文を知っているサーバーでデータを暗号化するのは、別の信頼モデルです。FCM 暗号化ガイド。
ルーティング識別子が証明すること、しないこと
特定の宛先へのプッシュには、対象アプリインスタンスの識別子が必要です。これは個人を表す永久的で汎用的な識別子とは違います。登録は変わったり失効したりします。現在の Firebase ガイドでは、インストールに基づく登録と従来のトークンの両方を扱っています。登録管理の文書。
プッシュ提供者は、必然的にリクエスト処理と配信に関与します。そのためメタデータの検討が必要ですが、正確な保持、アカウントとの結び付き、可視範囲には文書や測定が必要です。一般的な「新しいメッセージ」という通知だけで、実際の送信者、受信者、社会的関係の全体像が自動的に明らかになると推測してはいけません。
タイミング相関は、特に観測者が関連する複数のトラフィックを見られる場合、脅威モデル上の懸念になり得ます。その精度は、利用できる観測、バッチ処理、バックグラウンド動作などに左右されます。「手掛かりを与え得る」は「すべての会話を簡単に復元できる」と同じではありません。
FCM と直接同期の比較
| 設計上の問い | FCM 経由のプッシュ | 直接バックグラウンド同期 |
|---|---|---|
| 第三者のプッシュ中継が関与するか？ | はい | その直接接続には関与しない |
| 中継から読めるチャット本文を除外できるか？ | 適切なペイロード設計なら可能 | メッセンジャーには引き続き適切な E2EE が必要 |
| アプリのサーバーは接続や配信のデータを観測するか？ | 多くの場合そうだが、構成による | はい。クライアントへ直接サービスを提供する |
| 即時配信は保証されるか？ | いいえ | いいえ |
| 何を試験する必要があるか？ | ペイロードの内容、トークンのライフサイクル、遅延、代替処理 | OS の制限、再接続の挙動、電池消費、遅延 |
直接ポーリングやソケットは、プッシュ提供者への依存を減らせます。しかし、自動的に匿名性を生むことも、OS、ネットワーク、アプリ自身の基盤が関連するあらゆる事象を観測するのを防ぐこともありません。
WorkManager が即時メッセージの伝送手段ではない理由
Android はリソース管理のためバックグラウンド処理を制限します。WorkManager はその制約の中で永続的な処理をスケジュールします。構成にその名前があるだけで、接続が常時維持されたり、すべてのメッセージがすぐ届いたりするわけではありません。メーカー設定、電池の制限、アプリの状態が影響します。Android のバックグラウンド処理制限。
電力制限を無効にすると信頼性や電池消費が変わる可能性がありますが、広範な除外設定をむやみに適用してはいけません。実機でアプリが対応するモードを試してください。Google コンポーネントを取り除いても、アプリが新しい配信方式を自動的に学ぶわけではなく、一部の機能が動かなくなる可能性があります。
通知について Livara が説明していること
Livara のセキュリティ文書では、暗号化メッセージのプッシュ通知にメッセージの詳細や名前を含めないとしています。また、サービスは運用メタデータとプッシュトークンを保存するとも説明しています。これらは製品の主張であり、Livara が FCM を使わないことや、配信メタデータがすべての仲介者から隠されることの証拠ではありません。
公開文書は脅威モデルと併せて読む必要があります。本記事は、実証がないところで、試験済みの直接同期オプション、測定済みの電池上の優位性、特定のログ保持方針を主張しません。
実用的な通知の確認
無害なテストメッセージを使います。端末のロック解除時、ロック時、オフライン時、その後の再接続時に何が表示されるかを比べてください。リンク済み端末のプレビューと、通知へのアクセス権があるアプリは別々に確認します。ロック画面の設定はローカル表示を制御するもので、サーバー側のプッシュペイロードを必ず変えるわけではありません。
開発者はテスト用ペイロードを確認し、診断データは必要最小限だけ記録してください。現実的な電池状態と接続状態で配信を測定し、「送信」「受付」「配信」「表示」がそれぞれ何を意味するかを文書化します。これらの境界を明確にすると、プライバシーと信頼性の両方が改善します。
