メッセージのメタデータ解説：本文以外に誰が何を見られるか

メッセージのメタデータは、メッセージ本文ではなく通信についての情報です。設計によって、アカウント識別子、時刻、接続記録、配信状態、グループのメンバー情報などが含まれます。エンドツーエンド暗号化で配送サービスが本文を読めなくても、こうした周辺情報の一部は見えるままの場合があります。

例えば、「6時に着きます」は内容です。一方、あるアカウントが特定の時刻に別のアカウントへ連絡したという事実はメタデータです。どの当事者がどちらの事実を観察できるかは、アプリとネットワークの構成に左右されます。

メッセージ内容とメタデータは異なる

エンドツーエンド暗号化は会話の内容を保護します。メタデータは、メッセージサービスがその会話をどう配送・管理するかを表します。参加するアカウント、イベントの発生時刻、メッセージが配信されたか、どの会話に届けるか、といった情報です。

メッセンジャーは本文を暗号化しながら運用情報を保持できるため、この区別は重要です。また、「暗号化」「プライベート」「ゼロ知識」といった表現が同じ意味ではないことも示しています。有用なセキュリティレビューでは、どのデータが暗号化され、鍵がどこにあり、サービスがどの情報を利用できるのかを具体的に確認します。

エンドツーエンド暗号化が守るもの

適切に実装されたエンドツーエンド暗号化の会話では、送信者が内容を保存先に届ける前に暗号化し、参加端末が復号します。サービスが運ぶのは、読めるメッセージ内容ではなく暗号文です。

製品によっては、E2EEが次を対象にする場合があります。

• メッセージ本文と編集内容
• キャプションと添付ファイル
• 音声メモやその他のアップロード済みメディア
• 暗号化ペイロードに含まれるリアクションや返信

すべてが自動的に対象になるわけではありません。個別メッセージは暗号化しても、グループ、チャンネル、バックアップ、リンクプレビュー、通話には別のモデルを使う製品もあります。一つの鍵アイコンが全機能に当てはまると考えず、製品のセキュリティ文書を読んでください。

どのメタデータが見えるままになり得るか

メッセージサービスは、配送、アクセス制御、端末の同期、不正利用防止のために一定の情報を必要とします。その運用データには次のものが含まれます。

データの種類	サービスが処理する可能性のある理由
参加者と会話ID	イベントを正しいアカウントと会話へ配送する
タイムスタンプと連番	メッセージの順序を整え、切断後に更新を回復する
配信・既読状態	複数端末でメッセージの状態を同期する
メンバー情報と役割	グループやチャンネルへのアクセス権を適用する
暗号文のサイズとメディアのメタデータ	暗号化内容を正しく保存・配送する
ネットワーク情報	接続を確立し、基盤を運営し、不正利用を調査する

これは、すべてのサービスが同じデータを同じ期間保持するという意味ではありません。真剣にプライバシーを比較するなら、暗号化アルゴリズムだけでなく、収集、保持、アクセス制御、削除も調べるべきだという意味です。

メタデータに注目すべき理由

メッセージ内容が読めなくても、メタデータから傾向が分かる場合があります。二つのアカウント間の頻繁な通信、活動の急変、特定グループへの参加は、それ自体が背景を示すことがあります。

実際のリスクは、収集するデータ、保持期間、現実の身元との結びつき、アクセスできる人によって変わります。短期間の運用記録と恒久的な広告用プロフィールは別物です。透明性のあるサービスは、その違いをプライバシーとセキュリティの文書で説明するべきです。

メッセンジャーを選ぶ前に尋ねたい質問

どのメッセージ基盤を評価するときも、次の質問を使ってください。

1. どの会話の種類がエンドツーエンド暗号化されますか。
2. 添付ファイルはアップロード前に暗号化されますか。
3. 本人性確認用の秘密鍵はどこで生成・保存されますか。
4. 別の端末が、独立した復旧用秘密情報なしで鍵を復元できますか。
5. サーバーは配送経路、メンバー情報、タイムスタンプ、配信に関するどのデータを保持しますか。
6. バックアップはサービスが利用できない鍵で保護されていますか。
7. 鍵の変更後に参加者が公開鍵のフィンガープリントを検証できますか。
8. セキュリティの主張では個別チャット、グループ、チャンネル、通話を区別していますか。
9. アカウントの削除と保持データをどう扱いますか。
10. プライバシーポリシーに分析、広告、第三者サービスの説明がありますか。

具体的な回答は、広い約束より価値があります。サービスが自らの信頼境界を説明できなければ、ユーザーは十分な情報に基づいて判断できません。

誰が会話のどの部分を観察できるか

すべての観察者を、一人の全知の存在としてまとめないでください。最初の整理としては、次が役立ちます。

観察者	見える可能性のあるもの	重要な境界
インターネット接続事業者やローカルネットワーク	接続先、時刻、通信量	正しく保護された本文が自動的に読めるわけではない。見える項目は通信方式と経路による
メッセージサービス	設計上必要なアカウント、配信、メンバー情報	E2EE内容の平文を受け取らない場合があり、保持と一時処理も異なり得る
プッシュ通知やホスティングの事業者	通知やホスティングの連携に必要な情報	ペイロードと識別子の露出は実装による
ほかの参加者	復号されたメッセージと会話に表示される情報	受け取ったものをコピー・公開する可能性がある
端末を制御する人	その端末やセッションでアクセスできるデータ	ネットワーク暗号化は端末侵害を修復しない

この表は枠組みであり、特定のアプリを測定した結果ではありません。ネットワーク事業者がメッセンジャーと同じアカウント単位の記録を見るとは限らず、アプリ事業者が処理するすべてを保持するとも限りません。

IABのRFC 6973によるプライバシー指針は、相関付け、個人の識別、データ最小化を異なるプライバシー上の懸念として扱います。永続的な識別子は、法的な氏名でなくても時間をまたいで活動を結びつけられます。複数の情報源から記録を組み合わせると、どれか一つの記録以上のことが分かる場合があります。

文書に示されたLivaraのメタデータ境界

Livaraのセキュリティ文書は、個別通信と互換性のある非公開グループの内容が暗号化されると説明する一方、配送経路、メンバー情報、時刻、暗号文サイズ、プッシュトークン、セキュリティ記録は別に扱うとしています。公開チャンネルはサーバーが読めます。非公開グループの暗号文と、公開チャンネルの平文を混同してはいけません。

暗号コンポーネントが文書に登場しても、すべての実稼働経路で使われる証明にはなりません。例えば、文書にあるLSS1コンポーネントは、通常のメッセージ送信に組み込まれたとは説明されていません。したがって、それを根拠に通常のLivaraメッセージが送信者メタデータを隠すと主張してはいけません。実際の適用範囲と保持に関する主張は、現在のセキュリティ文書とプライバシー情報を確認してください。

この記事では、Livaraの本番通信やサーバーでの保持を独立して測定していません。内容暗号化に関する主張は、競合サービスの中でメタデータ収集が最少であることを示すものではありません。

露出を減らす実践的な方法

暗号化はアカウント保護の一部です。ユーザーも、具体的な対策によって露出を減らせます。

• 会話に必要なプロフィール情報とアカウント識別子だけを共有する。公開名やアバターの使い回しで、別々のアカウントが結びつく場合があります。
• 不要な連絡先・位置情報への権限を拒否し、以前に同期されたデータの削除は別に確認する。
• 該当する場合はアカウント固有の認証情報を使い、端末自体へのアクセスも保護する。
• 復旧フレーズを、サインイン済み端末とは別の場所に保管する。
• 予期しない本人性の変更後は、別の信頼できる経路で鍵のフィンガープリントを比較する。
• 機微な内容を共有する前にグループのメンバーを確認する。
• ブラウザー、OS、メッセージクライアントを更新する。
• 通知プレビュー、スクリーンショット、エクスポートしたメディアを、暗号化された会話の外にあるコピーとして扱う。

端末の安全管理が守るのは、メタデータ最小化とは別の部分です。事業者のログを消すものではありません。同様に、メッセージの吹き出しを削除したり有効期限タイマーを設定したりしても、配送経路の記録、バックアップ、ほかの参加者のコピーまで消えるとは限りません。

プライバシーの主張を有益に読み解く方法

信頼できる主張は、保護するデータ、仕組み、制約を明示します。「個別メッセージの内容は参加端末上で暗号化される」は検証できます。「完全にプライベート」は検証できません。

メッセージアプリを比較するときは、誰が内容を読めるか、サービスがどのメタデータを処理するか、アカウント復旧がどう機能するか、各端末上で何が起きるか、という四つの質問を分けてください。標語だけで製品を選ぶより、正確な判断につながります。

VPNはメッセージのメタデータを隠すか

VPNは接続の一部を観察できるネットワーク事業者を変えますが、メッセンジャーのアカウント記録や配信記録を自動的に消すものではありません。同じアカウントにサインインすれば、サービスには引き続きそのアカウントが識別されます。IPアドレスが変わることを完全な匿名性と考えず、VPN事業者、メッセージの配送設計、アプリの保持方針を別々に評価してください。

収集だけでなく保持について尋ねる

関連する各項目について、一時的に処理するのか、ログに書くのか、バックアップで保持するのか、別の事業者と共有するのかを尋ねてください。そのうえで、どれくらい残るか、削除に例外があるかも確認しましょう。文書に記載がなければ、期間は不明として記録します。「運用に必要」は考えられる目的の説明であって、それだけで保持期限を定めるものではありません。