エンドツーエンド暗号化は、メッセンジャーに中央での保存を避けるよう求めるものではありません。サーバーは、内容を読むために必要な秘密情報を持たずに、同期のために暗号化されたメッセージを保存できます。
複数端末でのメッセージングで難しいのは、どの端末を許可し、どの鍵を渡し、過去の履歴にアクセスできるようにするかを決めることです。これらの判断は、システムがデータベースを使うかどうかより重要です。
「同期」と呼ばれがちな四つの異なる操作
| 操作 | 達成すべきこと |
|---|---|
| 新しいメッセージの配信 | 現在許可されている端末に保護された内容を届ける |
| 新しい端末のリンク | アカウント所有者が新しいエンドポイントを承認していることを確認する |
| 履歴の転送 | 選択した過去の内容とその復号用の鍵素材に新しい端末がアクセスできるようにする |
| ID の復元 | メッセージ履歴を必ずしも復元せずに、ID 鍵を復元または置き換える |
製品は、このうち一つをサポートしていても、四つすべてをサポートしているとは限りません。ログインに成功しても、古いチャット履歴を復元できる証拠にはなりません。
暗号化された配信で複数端末をサポートする仕組み
一つの方法は、端末ごとに別々のセッションを維持することです。Signal の Sesame 仕様は、端末の追加や削除、メッセージの順不同での到着など、非同期の複数端末環境でのセッション管理を説明しています。
これは文書化された設計例であり、普遍的な要件ではありません。他のシステムでは、内容を一度だけ暗号化して保護されたコンテンツ鍵を配布したり、グループの仕組みを使ったり、複数の方法を組み合わせたりできます。「E2EE には端末ごとにペイロード全体の複製が必要」という言い方は広すぎます。
どの設計を選んでも、復号できる端末を追加すれば、保護が必要なエンドポイントが増えます。管理されていないノート PC は、サーバーがその平文を一度も見ていなくても、受信した平文を漏らすおそれがあります。
保存された暗号文にもプライバシーと保持の問題がある
暗号化して保存することと、保存しないことは同じではありません。提供者は、配信情報、端末記録、タイムスタンプ、メンバーシップ、暗号化されたメッセージ履歴を保持する場合があります。詳細はサービスごとに異なり、明示すべきです。
Livara のセキュリティ文書は、同期と再接続時の復旧のためにリレーが暗号文と運用データを保存すると述べています。ルーティング、メンバーシップ、タイムスタンプ、配信状態、その他の記録が説明されています。したがって、すべての端末がメッセージを受け取ると必ず消える、文書化されていない一時キューと表現すべきではありません。
このため、内容の機密性とメタデータの保持は別々に問う必要があります。何を、どの期間保持し、削除やアカウントの除去で何が変わるのかを尋ねてください。確認できていない保持期間を作り上げてはいけません。
Livara の v7 復元が実際に復元するもの
Livara は v7 を、ランダムな 256 ビットの復元鍵でアップロード前に封印する、暗号化された ID バックアップと説明しています。文書に記載されたペイロードには ID 鍵素材が含まれ、その形式はアルゴリズムスイート、ID エポック、世代の真正性を検証します。
同じページには、復元するのは ID であり、チャット履歴ではないとあります。したがって、復元フレーズを、新しい端末ですべての過去の会話を表示できる保証として紹介すべきではありません。
端末を交換または消去する前に、現在実際に利用できる履歴転送とバックアップの選択肢を確認してください。復元用の情報は秘密にしてください。復元フレーズをサポートアカウントに送ったり、未確認のウェブサイトに貼り付けたりしてはいけません。
前方秘匿性は許可済み端末の受信箱を消さない
ラチェットは、その前提が成立し、古い秘密情報が削除されていれば、後の鍵漏えいから以前の暗号化通信がどこまで明らかになるかを制限できます。しかし、エンドポイントがすでに保存した平文を隠したり、活動中のマルウェアが新しいメッセージを読むのを止めたりすることはできません。
同様に、侵害後の安全性には、攻撃者がアクセスを失った後の適切な新しい更新が必要です。メッセージカウンターが進むたびに、古いタブレットが無害になるという約束ではありません。
より安全に端末を変更するためのチェックリスト
- 別の端末を追加する前に、リンク済み端末を一覧にします。
- 見知らぬ人から送られた QR コードではなく、アプリが文書化したリンクと検証の手順を使います。
- 機密情報を含まないテスト会話で、新しい端末がどの履歴を受け取るか確認します。
- 古い端末を消去する前に、復元用の情報と、別途用意された履歴バックアップを確認します。
- 管理できなくなった端末を失効させ、相手に ID 変更通知が届くか確認します。
- 各エンドポイントのローカルダウンロード、通知、OS のバックアップを見直します。
Livara の脅威モデルは、エンドポイントと受信者に関する制約を明示的に含んでいます。それらの制約は、どの画面でも重要です。有用な複数端末対応の約束は、端末の許可、保存データ、復元範囲をそれぞれ説明するものです。
