暗号化は届ける過程を保護し、メタデータの削除は届けるファイルの中身を管理します。
写真に位置情報のメタデータが含まれ、共有の過程でもそのデータが残っていれば、撮影場所が分かることがあります。エンドツーエンド暗号化は、それ自体で添付ファイルからメタデータを削除するものではありません。意図した受信者に届ける過程を保護するものであり、その相手にどのような詳細情報を渡すべきかを決めるものではないのです。
このリスクには条件があり、自動的に生じるわけではありません。カメラが位置を記録したか、別のツールが位置情報を追加しており、共有されたコピーにもその情報が残っている必要があります。また、GPSタグが残っていなくても、写っている景色から場所が分かることがあります。
EXIFメタデータとは？
EXIFは、カメラの設定や撮影時刻、ときにはGPS座標など、画像に関連する情報を保存するための形式です。すべての画像にすべての項目が含まれているわけではありません。位置情報の一部は、ファイル自体ではなく、写真サービスのデータベースに保存されていることもあります。
この違いは重要です。写真アプリに表示される位置情報を削除しても、すべての元ファイルや書き出したファイルが変わるとは限りません。ライブラリの地図表示だけでなく、実際に共有する予定のコピーを確認してください。
暗号化とメタデータの削除は別の問題を解決する
| 疑問 | 関係する保護策 |
|---|---|
| 転送中の添付ファイルを中間者が読めるか？ | 対応している場合、認証付きエンドツーエンド暗号化 |
| 受信したファイル内の座標を相手が見られるか？ | 共有前のメタデータ削除 |
| 写真の道路標識から位置を推測されるか？ | 写っている内容の確認、トリミング、または目隠し |
| 受信者が画像を転送できるか？ | 受信者への信頼。暗号化ですべてのコピーを防ぐことはできない |
メッセージアプリが画像処理の際にメタデータを削除する場合もありますが、これは暗号化とは別の機能です。画像、オリジナル、ドキュメント、ファイルとして送る場合では、処理経路が異なることがあります。ある経路で得られた結果が、ほかの経路や今後のアプリのバージョンにも当てはまるとは考えないでください。
届ける過程を保護することと受信者を制御することの違いを広く知るには、エンドツーエンド暗号化が何を保護するのかについての解説をご覧ください。
写真の位置情報を確認して削除する方法
iPhoneまたはiPadの場合
Appleの個人の安全に関するガイドでは、「写真」で位置情報を確認する方法、写真の位置情報を削除する方法、共有シートで位置情報の共有をオフにする方法が説明されています。また、今後撮影する画像について「カメラ」による位置情報の収集を停止する方法も説明されています。
送信前に、選択した写真の共有オプションを確認してください。今回の共有に対する設定は、今後のすべての共有や、すべてのアプリで同じ動作になるという保証ではありません。位置情報の機密性が高い場合は、生成されたコピーも確認しましょう。
GoogleフォトおよびAndroidの場合
Googleは、カメラが記録した座標と、フォトで推定または追加された位置情報を区別しています。位置情報の管理ガイドでは、ファイルをダウンロードして別の場所で共有するとき、フォト内での変更が元の位置情報を必ずしも変えるわけではないと注意を促しています。
今後撮影する写真には、カメラの位置情報設定を使ってください。既存のファイルには、新しいコピーを作成する信頼できる編集ツールやメタデータ削除ツールを使い、そのコピーを確認します。機密情報が含まれているかどうかを調べるためだけに、機密性の高い画像を見知らぬウェブサイトへアップロードしないでください。
自分の記録用に必要であれば、元ファイルは非公開で保管してかまいません。共有用コピーからメタデータを削除するために、すべての非公開コピーからメタデータを削除する必要はありません。
実際に使う共有経路をテストする
機密情報を使わない小さなテストのほうが、あるアプリの全バージョンが常にEXIFを削除すると根拠なく主張する一覧より役に立ちます。
- メタデータの内容が分かっている、無害なテスト画像を選びます。自宅の住所や他人のプライベートな写真は使わないでください。
- 機密性の高いデータを取り除いたコピーを作成し、ローカル環境で位置情報の項目を確認します。
- 同意を得た信頼できる相手に、実際に使う予定の経路でそのコピーを送ります。画像、ファイル、元の画質のモードなどです。
- チャットに表示された画像だけでなく、受信したファイルを確認してもらいます。
- 繰り返し行う作業で結果が重要になる場合は、アプリのバージョンと共有経路を記録します。
これはテスト手順の提案であり、この記事のために実施したテストの報告ではありません。ここでは、特定のメッセージアプリのメタデータ削除動作を認証していません。
スクリーンショットで変わること、変わらないこと
スクリーンショットは新しく作成された画像であり、元の写真のEXIFブロックをピクセルと一緒にそのまま引き継ぐものではありません。ただし、住所、地図、通知、そのほか身元の特定につながる情報が写ることはあります。したがって、トリミングやスクリーンショットの撮影だけで、プライバシーの確認が完了するわけではありません。
同様に、GPSの項目がないからといって、写真に場所の手がかりがないとは限りません。目印となる建物など、反射して映り込んだもの、名札やバッジ、包装から背景が分かることもあります。Googleも写真の位置情報とプライバシーに関するガイドで、この限界を明示しています。
Livaraのユーザーはどう考えるべきか？
Livaraの添付ファイルの暗号化に関する文書から、メタデータも削除されると推測しないでください。暗号化と画像の機密情報の除去には、それぞれ別の根拠が必要です。特定の共有経路を確認するまでは、位置情報の機密性が高い場合、自分でファイルを準備してください。
また、添付ファイルのメタデータとメッセージのメタデータも区別しましょう。配信や通信パターンに関する情報は、画像に埋め込まれた座標とは別の問題です。どれほど慎重に画像を準備しても、公開チャンネルは非公開のダイレクトチャットではありません。
よくある質問
写真を送ると自宅の住所が分かってしまいますか？
位置情報のメタデータが残っていれば、撮影場所が分かることはあります。ただし、その場所が自宅とは限らず、常に正確なわけでもありません。写っている内容が、さらに手がかりを与える場合もあります。
エンドツーエンド暗号化はGPSタグを削除しますか？
それ自体では削除しません。アプリが暗号化前に別の処理として削除することはできますが、そうだと決めつけずに、その動作を確認する必要があります。
ドキュメントモードでは必ずメタデータが残りますか？
元のファイルが保持される可能性はあります。動作はアプリとバージョンによって異なるため、モードの名称に頼るのではなく、先にファイルから機密性の高いデータを取り除いてください。
送信後にデータを削除できますか？
メッセージを削除すれば相手がすでに保存したコピーまで消せるとは期待できません。共有前にファイルを確認し、その内容を踏まえて受信者を選びましょう。
