Удаление push-ретранслятора меняет участников доставки, но не устраняет метаданные маршрутизации.
Приватность уведомлений Android зависит не только от шифрования самой переписки. Push-служба может направить уведомление, не получая читаемый текст чата, но всё равно участвует в доставке. Прямое соединение убирает этого конкретного посредника, однако не стирает метаданные на сервере мессенджера или в сети.
Поэтому полезное сравнение — не «FCM раскрывает всё, а сокеты всё скрывают». Вопросы другие: какие данные получает каждая сторона, насколько надёжно выбранная схема работает в фоне и что может проверить пользователь?
Что передаёт FCM
Firebase Cloud Messaging различает сообщения-уведомления, которые может отображать платформа, и сообщения с данными, обрабатываемые кодом приложения. Полезная нагрузка может содержать читаемый текст уведомления, зашифрованные данные или минимальный сигнал, предлагающий приложению получить обновления. Последствия для приватности у этих схем различаются. Типы сообщений FCM.
Firebase описывает защиту TLS между отправляющим сервером, FCM и устройством, но указывает, что FCM не обеспечивает сквозное шифрование уровня приложения автоматически. Чувствительной нагрузке нужна соответствующая защита поверх транспортного уровня. В приватном мессенджере она должна сохранять предусмотренные границы конечных точек; шифрование на сервере, которому открытый текст уже известен, — другая модель доверия. Рекомендации по шифрованию FCM.
Что доказывают и чего не доказывают идентификаторы маршрутизации
Адресному push-сообщению нужен идентификатор соответствующего экземпляра приложения. Это не постоянный универсальный идентификатор человека. Регистрации могут меняться или истекать; актуальные рекомендации Firebase рассматривают регистрации на основе установки наряду с прежними токенами. Документация по управлению регистрациями.
Push-провайдер неизбежно участвует в обработке запросов и доставке. Это создаёт вопросы о метаданных, но точные сроки хранения, привязка к аккаунтам и видимость требуют документации или измерений. Не следует заключать, что общее уведомление «новое сообщение» автоматически раскрывает личности отправителя и получателя и весь социальный граф.
Корреляция по времени может быть важна в модели угроз, особенно если наблюдатель видит несколько связанных потоков трафика. Её точность зависит от доступных наблюдений, пакетной обработки, фоновой активности и других факторов. «Может дать сигнал» не означает «легко восстанавливает каждую беседу».
Сравнение FCM и прямой синхронизации
| Вопрос о конструкции | Push через FCM | Прямая фоновая синхронизация |
|---|---|---|
| Участвует сторонний push-ретранслятор? | Да | Не в этом прямом соединении |
| Можно исключить читаемый текст чата из данных ретранслятора? | Да, при подходящей структуре нагрузки | Мессенджеру всё равно необходимо подходящее E2EE |
| Видит ли сервер приложения данные соединения или доставки? | Часто; зависит от архитектуры | Да, он непосредственно обслуживает клиент |
| Гарантируется мгновенная доставка? | Нет | Нет |
| Что нужно тестировать? | Содержимое нагрузки, жизненный цикл токена, задержки и резервный механизм | Ограничения ОС, переподключение, расход батареи и задержки |
Прямой опрос или сокеты могут снизить зависимость от push-провайдера. Они не создают автоматическую анонимность и не мешают операционной системе, сети или собственной инфраструктуре приложения наблюдать все относящиеся к ним события.
Почему WorkManager — не транспорт мгновенных сообщений
Android ограничивает фоновую работу для управления ресурсами. WorkManager планирует устойчивую к прерываниям работу в рамках этих ограничений; его упоминание в архитектуре не означает, что соединение будет постоянно активно или каждое сообщение придёт немедленно. Важны настройки производителя, ограничения батареи и состояние приложения. Ограничения фоновой работы Android.
Отключение ограничений энергопотребления может изменить надёжность и расход батареи, но не вводите широкие исключения вслепую. Проверьте поддерживаемый режим приложения на реальном устройстве. Удаление компонентов Google не обучает приложения новому механизму доставки автоматически; некоторые функции могут перестать работать.
Что Livara говорит об уведомлениях
В документации по безопасности Livara говорится, что push-уведомления зашифрованных сообщений не содержат подробностей сообщений или имён. Там также сказано, что служба хранит эксплуатационные метаданные и push-токены. Это заявления о продукте, а не доказательство отсутствия FCM в Livara или сокрытия метаданных доставки от каждого посредника.
Публичную документацию следует читать вместе с моделью угроз. Эта статья не заявляет о протестированном варианте прямой синхронизации, измеренном преимуществе по батарее или конкретной политике хранения журналов, если это не было продемонстрировано.
Практическая проверка уведомлений
Используйте безобидное тестовое сообщение. Сравните, что отображается, когда телефон разблокирован, заблокирован, отключён от сети и затем снова подключён. Отдельно проверьте предпросмотр на связанных устройствах и приложения с доступом к уведомлениям. Настройка экрана блокировки управляет локальным отображением; она не обязательно меняет push-нагрузку на стороне сервера.
Разработчикам стоит проверять тестовые нагрузки и записывать лишь минимум диагностических данных. Измеряйте доставку при реалистичных состояниях батареи и подключения и документируйте отдельные значения «отправлено», «принято», «доставлено» и «отображено». Ясные границы улучшают и приватность, и надёжность.
