Вилучення push-ретранслятора змінює учасників доставки, але не усуває метадані маршрутизації.
Приватність сповіщень Android залежить не лише від шифрування самої розмови. Push-служба може спрямовувати сповіщення, не отримуючи читабельного тексту чату, але все одно бере участь у доставці. Пряме з’єднання прибирає цього конкретного посередника, проте не стирає метадані із сервера месенджера чи мережі.
Тож корисне порівняння — не «FCM розкриває все, а сокети все приховують». Питання інші: які дані отримує кожна сторона, наскільки надійно обрана схема працює у фоні й що може перевірити користувач?
Що передає FCM
Firebase Cloud Messaging розрізняє повідомлення-сповіщення, які може показувати платформа, та повідомлення з даними, які обробляє код застосунку. Корисне навантаження може містити читабельний текст сповіщення, зашифровані дані або мінімальний сигнал застосунку отримати оновлення. Ці схеми мають різні наслідки для приватності. Типи повідомлень FCM.
Firebase документує захист TLS між сервером-відправником, FCM і пристроєм, але зазначає, що FCM не надає наскрізного шифрування рівня застосунку автоматично. Чутливе навантаження потребує належного захисту над транспортним рівнем. У приватному месенджері він має зберігати передбачену межу кінцевих точок; шифрування даних на сервері, якому вже відомий відкритий текст, — інша модель довіри. Рекомендації щодо шифрування FCM.
Що доводять і чого не доводять ідентифікатори маршрутизації
Адресному push-повідомленню потрібен ідентифікатор відповідного екземпляра застосунку. Це не постійний універсальний ідентифікатор людини. Реєстрації можуть змінюватися чи втрачати чинність; актуальні рекомендації Firebase охоплюють реєстрації на основі встановлення поряд зі старими токенами. Документація з керування реєстраціями.
Push-провайдер неминуче бере участь в обробці запитів і доставці. Це створює питання щодо метаданих, але точні строки зберігання, зв’язок з обліковими записами й видимість потребують документації або вимірювань. Не робіть висновку, що загальне сповіщення «нове повідомлення» автоматично розкриває особи відправника й одержувача та весь соціальний граф.
Часова кореляція може бути важливою для моделі загроз, особливо коли спостерігач бачить кілька відповідних потоків трафіку. Її точність залежить від доступних спостережень, пакетної обробки, фонової активності та інших чинників. «Може дати сигнал» не означає «легко відтворює кожну розмову».
Порівняння FCM і прямої синхронізації
| Питання про конструкцію | Push через FCM | Пряма фонова синхронізація |
|---|---|---|
| Чи бере участь сторонній push-ретранслятор? | Так | Не в цьому прямому з’єднанні |
| Чи можна виключити читабельний текст чату з даних ретранслятора? | Так, за належної структури навантаження | Месенджер усе одно потребує відповідного E2EE |
| Чи бачить сервер застосунку дані з’єднання або доставки? | Часто; залежить від архітектури | Так, він безпосередньо обслуговує клієнт |
| Чи гарантовано миттєву доставку? | Ні | Ні |
| Що потрібно тестувати? | Вміст навантаження, життєвий цикл токена, затримки й резервний механізм | Обмеження ОС, повторне підключення, витрати батареї й затримки |
Пряме опитування чи сокети можуть зменшити залежність від push-провайдера. Вони не створюють автоматичної анонімності й не заважають операційній системі, мережі чи власній інфраструктурі застосунку спостерігати всі відповідні події.
Чому WorkManager — не транспорт миттєвих повідомлень
Android обмежує фонову роботу для керування ресурсами. WorkManager планує стійку до переривань роботу в межах цих обмежень; його згадка в архітектурі не означає, що з’єднання буде постійно активним або кожне повідомлення надходитиме негайно. Мають значення налаштування виробника, обмеження батареї та стан застосунку. Обмеження фонової роботи Android.
Вимкнення обмежень енергоспоживання може змінити надійність і витрати батареї, але не застосовуйте широкі винятки наосліп. Випробуйте підтримуваний режим застосунку на реальному пристрої. Видалення компонентів Google не навчає застосунки нового механізму доставки автоматично; деякі функції можуть перестати працювати.
Що Livara каже про сповіщення
Документація з безпеки Livara стверджує, що push-сповіщення зашифрованих повідомлень не містять подробиць повідомлень або імен. У ній також сказано, що служба зберігає операційні метадані й push-токени. Це заяви про продукт, а не доказ того, що Livara не використовує FCM або що метадані доставки приховано від кожного посередника.
Публічну документацію слід читати разом із моделлю загроз. Ця стаття не заявляє про протестовану можливість прямої синхронізації, виміряну перевагу щодо батареї чи конкретну політику зберігання журналів там, де цього не продемонстровано.
Практична перевірка сповіщень
Використайте нешкідливе тестове повідомлення. Порівняйте, що відображається, коли телефон розблокований, заблокований, від’єднаний від мережі й згодом знову підключений. Окремо перевірте попередні перегляди на пов’язаних пристроях і застосунки з доступом до сповіщень. Налаштування екрана блокування керує локальним відображенням; воно не обов’язково змінює push-навантаження на сервері.
Розробникам варто перевіряти тестові навантаження й записувати лише мінімум діагностичних даних. Вимірюйте доставку за реалістичних станів батареї та підключення й документуйте окремі значення «надіслано», «прийнято», «доставлено» та «відображено». Чіткі межі покращують і приватність, і надійність.
