プライバシーに値段は付けられないが、Signalは高くつく
(signal.org)- Signalは、監視ベースの収益化を行わない非営利構造で運営されるプライベートメッセンジャーであり、2025年の年間運営費は約5,000万ドルに達すると見込まれている
- 2023年11月時点で、インフラ費用だけでも年間約1,400万ドルにのぼり、ストレージ・サーバー・登録確認・帯域幅・その他サービスの費用が大きな割合を占めている
- メッセージ、ファイル、プロフィール、連絡先情報を可能な限りエンドツーエンド暗号化し、保存も最小限にしているため、広告やAI学習用データ販売でコストを回収していない
- 約50人のフルタイム従業員がAndroid、Desktop、iOS、サーバー、RingRTC、libsignal、プロダクト・デザイン、ローカライズ、サポートを担当しており、人件費と福利厚生などは年間約1,900万ドルである
- プライバシー保護機能は一般的な機能より実装コストが高く、Signalは投資家や成長目標よりもユーザーに責任を負う少額寄付ベースの運営を志向している
Signalのコスト構造と運営原則
- Signalは2013年の公開以来、Signal Protocolを通じてエンドツーエンド暗号化技術を提供してきており、WhatsApp、Google Messagesなどで数十億件の会話を保護する事実上の標準となっている
- 最近ではSignal Protocolに耐量子計算機層を追加し、以前にはsealed sender、連絡先保護、グループメンバーシップ保護、プロフィール名保護のようなメタデータ保護技術を開発してきた
- 技術的判断を文書化し、コードをオープンソースとして公開することで、外部レビューを可能にしている
非営利構造と寄付ベースの運営
- Signalは、ほとんどのコンシューマー向け技術企業とは異なり、非営利組織である
- この構造は、投資家や収益重視の取締役会が、厳しい時期にプライバシーの一部を犠牲にするよう圧力をかけにくくする仕組みとして機能する
- 無料のコンシューマー技術は、監視による収益化や個人情報の侵害でコストを賄うことが多く、グロースハックやダークパターンによってフィードや通知の利用時間を増やすこともある
- Signalも無料で利用できるが、操作的な設計とそれを促すビジネスモデルを拒否している
- 運営資金は寄付とBrian Actonの初期融資で賄われてきており、長期目標は、多くのユーザーからの少額寄付で完全に持続可能な構造に近づくことである
年間5,000万ドルが必要な理由
- 非営利だからといって、グローバルな通信アプリを作るコストが低くなるわけではない
- Signalは、数十億ドル規模の企業が規範と技術エコシステムを築いてきた領域で競争しており、これらの企業のビジネスモデルはSignalのプライバシーという使命と衝突する
- 2025年にはSignalの運営に年間約5,000万ドルが必要になると見込まれている
- この金額は、プライバシーを尊重しない他の人気メッセンジャーアプリと比べれば、非常に抑制された水準である
- 費用の公開は完全な会計内訳ではなく、とくにインフラと人員を中心に、運営費がどこに使われているかを示す例である
2023年11月時点のインフラ費用
- Signalの現在のインフラ費用は年間約1,400万ドルである
- ストレージ: 年間130万ドル
- サーバー: 年間290万ドル
- 登録費用: 年間600万ドル
- 総帯域幅: 年間280万ドル
- 追加サービス: 年間70万ドル
- 追加サービスには、稼働時間の監視、障害アラート、災害復旧用の冗長容量、保守契約などが含まれる
保存を最小化してもかかるコスト
- Signalは可能なあらゆるものをエンドツーエンド暗号化し、可能な限り保存しない
- メッセージを送信すると、Signalサービスは配送のため暗号化されたメッセージを一時キューに入れ、配送が完了するとその暗号化データの束をキューから削除できる
- エンドツーエンド暗号化されたファイル保存も一時的なもので、未配信の暗号化データは非アクティブ期間が過ぎると自動削除される
- このような一時保存だけでも、Signalは年間約130万ドルを支出している
- Signalは暗号化メッセージを読んだりアクセスしたりできず、復号鍵はSignalではなくユーザーが保持している
- メタデータ暗号化技術により、誰がメッセージを送っているのか、アドレス帳、プロフィール情報といった機微な情報にもアクセスしないよう設計されている
サーバーとプライバシー機能のコスト
- グローバルサービスと高品質な音声・ビデオ通話のために、Signalのサーバーは世界中に分散している必要がある
- レイテンシはリアルタイム通信において音声遅延や映像品質低下につながり、アプリの使い勝手を損ねる可能性がある
- SignalはAmazon AWS、Google Compute Engine、Microsoft Azureなど複数プロバイダーのインフラを借りているが、すべてがエンドツーエンド暗号化されているため、Signalもインフラ提供者もメッセージや通話にアクセスできない
- Signalのような小規模な非営利組織にとって、世界中の独立データセンターに必要な物理サーバーを自前で購入・配置するのは難しい
- 2017年、Signalはtrusted execution environmentを使ったプライベート連絡先検索方式を開発した
- ユーザーはアドレス帳をSignalに開示せずに友人の連絡先を見つけられる
- 当初は数台のサーバーで十分だったが、ユーザー増加に伴い、ピーク時にはプライベート連絡先検索だけで約600台のサーバーが必要となり、年間コストは200万ドル超だった
- アルゴリズム研究の改善とハードウェア更新により、現在はより多くのトラフィックを処理しながら、サーバー台数を約10台まで減らしている
登録費用とSMS認証の問題
- Signalは、新規インストール時や新しい端末で再登録する際、電話番号の所有確認のためにSMSまたは音声通話で登録コードを送る
- この手順は、スパムアカウントの作成を防ぎ、サービスが利用不能になる事態を避けるうえで重要である
- 登録コードは、世界中での配信品質を最適化するため、複数の通信事業者を通じてルーティングされる
- 電話番号確認のための登録サービス費用は、現在平均して年間約600万ドルである
- コストは月ごとに大きく変動し、toll fraudによって膨らむことがある
- 一部のネットワーク事業者が不正業者と収益を分け合い、SMS・通話トラフィックを増やす仕組みである
- Signalは音声・SMS認証プロバイダーと協力して不正登録を素早く検知・遮断しようとしているが、予測しにくいコストは残っている
帯域幅と通話リレーのコスト
- すべてのWebサイト、アプリ、サービスは、ユーザー接続時に発生する帯域幅コストを支払っている
- Amazon、Google、Microsoftのような大手技術企業は自社データセンター、光ファイバー、ネットワーク機器を運用しているが、Signalのような小規模組織は必要な帯域幅を大手事業者から借りている
- Signalは、メッセージ、写真、動画、音声メモ、文書、音声・ビデオ通話を支えるために、帯域幅へ年間約280万ドルを支出している
- 音声・ビデオ通話はテキストメッセージよりはるかに多くの帯域幅を必要とし、Signalのエンドツーエンド暗号化通話機能は最も高コストなサービスの1つである
- 連絡先にない相手とのエンドツーエンド暗号化通話は、IPアドレス情報を隠すため常にリレーサーバー経由でルーティングされる
- ほとんどの競合サービスはこの方式を採用していない
- 可能な限り常にP2P接続を使う方式よりコストが高い
- 現在のトラフィック水準では、Signalの音声・ビデオ通話に必要なアウトバウンド帯域幅は年間約20PB、つまり2,000万GBである
- 通話関連の帯域幅コストだけで年間約170万ドルであり、通話ソフトウェアを維持するエンジニアの人件費やサーバーインフラ費用は含まれていない
- Signalには、すべての通話をリレーサーバー経由にする選択機能もある:
Privacy > Advanced > Always Relay Calls
約50人で運営するグローバルメッセンジャー
- Signalは、プライバシー保護サービスだけでなく、クロスプラットフォームアプリとライブラリ群から成り立っている
- 監視がデフォルトのエコシステムでプライバシーを守るには、一般的なフレームワークをそのまま使うのではなく、自前のライブラリを作るか修正する必要がある場合が多い
- Android、Desktop、iOSをそれぞれ担当する3つのクライアントチームがある
- 別のエンジニアリングチームが、Signal Server、RingRTC、libsignalのようなサーバー・通話・コアライブラリを開発・保守している
- プロダクト・デザインチームはアプリの動作と見た目を作り、ローカライズチームは60以上の言語の翻訳を調整している
- 社内の専任サポートチームはユーザーと直接やり取りし、各チームに詳細な技術フィードバックとリアルタイムの問題解決情報を届けている
- Signalはユーザー行動に関する分析データやテレメトリーを収集しないため、サポートチームの役割はとくに重要である
人件費と競争環境
- Signalのフルタイム従業員は現在約50人である
- 比較対象として、LINE Corporationは約3,100人、KakaoTalkを開発するKakao Corp部門は約4,000人規模である
- Apple、Meta、Alphabetのような大企業の総従業員数はさらに多い
- Signalの全運営予算の約半分は、人材の採用・報酬・維持に使われている
- 福利厚生、HRサービス、税金、採用、給与を含めると年間約1,900万ドルである
- Signalは、非営利組織の制約の中で可能な限り業界水準に近い報酬を目指している
- 株式、高額なオフィス、大手テック企業流の福利厚生は提供できないが、経験豊富で専門性の高い人材を競争の激しい業界で採用・維持しなければならない
プライバシー機能は実装コストを増やす
- Signalの利用が増えればインフラ費用は増加し、より多くのインフラはより多くの人員を必要とする
- 2023年11月時点で、Signalのサーバーネットワークは定常的に毎秒約100,000件のリクエストに応答している
- グローバルサービスが毎日数十億件のリクエストを処理すると、100万分の1の確率の問題ももはや稀ではない
- エンジニアは、特定地域、特定ISP、特殊なOS構成で発生する複雑なIPv6接続問題を再現するためにカスタムコードを書くこともある
- プライバシーを守りながら一般機能を追加するには、相当な作業と創意工夫が必要である
- Signalのプロフィール写真とプロフィール名は常にエンドツーエンド暗号化されており、Signalからアクセスできない
- この保護レイヤーは6年以上維持されており、競合サービスはまだ同じ方式を採用していないと評価している
- プロフィール写真対応は、1人のエンジニアの週末プロジェクトではなく、profile keysのような新しい概念を作り、複数プラットフォームにわたる長いテストを経て展開した作業だった
- AndroidとiOSのアニメーションGIF検索も、標準的なGIF検索SDKを単純に統合しているわけではない
- Signalは、GIF検索語をSignalサーバーとGIF検索エンジンの両方から隠す技術を開発した
- その後、プロキシ接続を通るトラフィック量までさらに曖昧化する方式へと拡張した
- 最近では、Signal Protocolにポスト量子耐性を追加し、今日の会話を将来の脅威から守る取り組みも始めている
少額寄付ベースの代替技術
- Signalは、監視ではなくプライバシーを中心に据えたアプローチが可能であることを示そうとしている
- 目標は、オープンソースのプライベートメッセンジャーを少額寄付で支援・維持することである
- コンシューマー技術のコストが監視で賄われる中で、人々は「無料」をデフォルトとして受け入れるようになってきた
- 一部の業界プレイヤーは、膨大な個人情報とそのデータを使う権力を蓄積している
- Signalは、投資家や成長・収益追求ではなく、サービスを利用する人々に責任を負う組織モデルを志向している
- 寄付はSignalのWebサイトまたはアプリ内寄付案内から行える
1件のコメント
Hacker News のコメント
寄付を乞うことなく、慎重に促す完全な透明性は評価に値する
Wikipedia の見せ方と比べると新鮮。CEO が「LAST REMINDER」や「We've had enough」のような苛立ち混じりのメールを送ってくるが、皮肉なことに、すでに寄付した人にも送っている
Wikipedia は資金があり余っているので、「もっと集めてあげる」というコンサルタントにその一部を使っている。世の中は奇妙だが、そうやって回っている。むしろ Wikipedia のような基金（endowment）モデルのほうがよいと思う。予測可能な予算と長期運営可能な基金があり、こちらは募金キャンペーンに耐えればいいだけだ。uBlock フィルターでブロックしている。2012年に6ドル払ったが、彼らのマーケティング基準なら一生分として十分そうだ
その後すぐに追加寄付を求める郵便物が大量に届き始め、いまだに止まらないのでずっと後悔している
お金がどこへ行っているのかは分からないが、そのサイトを1日にほぼ20回使っていて、実際に価値を得ているのは確かだ
大学同窓会の終身会員なのに、「YOUR OFFER INSIDE」のような件名の郵便物を今も受け取り続けている。開けてみると、その「提案」はさらにお金を払えという内容だ
関心のある人向けの2022年の報酬資料: https://projects.propublica.org/nonprofits/organizations/824...
Jim O'leary 副社長（エンジニアリング）は約70万ドル、Ehren Kret CTO は約67万ドル、Aruna Harder COO は約47万ドル、複数のソフトウェア開発者は42万〜48万ドル程度。Meredith Whittaker は約19万7千ドル、Moxie Marlinspike は約8万2千ドル、Brian Acton は0ドルと出ている
登録時に SMS や音声通話で認証コードを送るのに600万ドルを使っているが、単に分散型にすべきだ。独裁者が支配しているのは携帯通信網とインフラであり、実際に人々を何らかの形で追跡している。この費用は人々を危険にさらしている。身元と通信事業者のインフラを結び付けるのは致命的なプライバシー上の欠陥であり、費用も大きい。最もプライベートなソリューションを目標にするなら、これを容認し続けることはできない。身元は暗号学的鍵であるべきだ
あるいは、「ソフトウェア開発者」という肩書きの下に隠れている3人を含めて Cレベルが7人で、合計370万ドルほどなのか？ この問いに答えがないなら、こういうところには絶対に寄付しない。対照的に、私が所属するフィンランドの地域非営利団体は、複数のサービスの中で Matrix も運営しており、年40ユーロ払うだけでよく、そのお金が Cレベル役員に行くことはない
chat.signal.orgは AWS に解決されるが、AWS で帯域を大量に使うと非常に高くつく。Signal は音声通話だけで年間20PBの帯域を使い、170万ドルかかるという。AWS の月150TB超の区間価格をざっくり1GBあたり0.05ドルとすると、月1.6PBは月8万ドル、年96万ドルだ。一方、米国のように帯域コストが低い国では、Tier-1事業者の10Gbpsインターネット回線は月800ドル程度の場合があり、年間36PBほど処理できる。だから、年間1万ドル前後の36PBと、AWS の20PBあたり96万ドルを比べることになる。170万ドルという数字がなぜ出てくるのか分からないし、96万ドルでも法外に高い。AWS は帯域費用で莫大な金を稼いでいる。年30万ドル以上もらう DevOps 専門家がいないなら奇妙だサーバー費用については資料がもっと必要なので深掘りはしないが、自前のインフラを購入して維持するか、借りるほうが AWS よりはるかに安い可能性が高い。ストレージは自分たちで買って維持するほうがよく、Backblaze のような事例を見ればよい。クラウドサービス事業者の帯域・コンピューティング・ストレージ費用は途方もなく高く、金銭と損益を気にするなら、内部で何が起きているのかも分からないまま UI を数回クリックしてサービスをつなぐ主流のやり方とは違うことをしなければならない。それでも Signal がしていることと、その象徴性は好きだし、今後もうまくやってほしい
Signalに10ドル寄付した。iPhoneで1分以内に済ませる方法は、Signalを開いて左上のユーザーアイコンを押し、「Settings」→「Donate to Signal」に進み、「Donate」を押して寄付オプションを選び、Apple Payで支払えばよい
Googleでも正確な理由を見つけるのが難しい。どこかで本人確認手続きを抜かしたのか、それともこうした支払いはApple Accountの残高では禁止されているのか分からない
そこまで不便を我慢して使う理由が何なのか分からない
Signalを好んでいるなら、定期寄付を真剣に検討する価値がある
Signalは何年にもわたって着実に成果を出してきたし、選択肢ができたときに月20ドルに設定した。寄付額の分布が気になる。自分の連絡先の中では月10ドルのバッジが1人、月5ドルのバッジが1人しか見えない。もちろんバッジを隠している人はもっといるかもしれない。Signalが財政的に安全であるには、月20ドルを払う50万人と、そこに富裕層が数百万ドルずつ上乗せする構造が必要に見える。寄付を促すには、クライアントが自分の利用量によって発生した純粋なインフラ費用を推定して寄付画面に表示するのも一つの方法だと思う
そうなると、モバイルデータ、無制限通話、固定電話、DSL、ストリーミングサービスを合わせた額よりもチャットサービスに多く使うことになる。実際の費用はユーザー1人あたり年1ドル程度に見える。任意寄付なら、払えない人や払わない人の分まで普通は自分のコストの2倍以上は払うが、原価の240倍を払うのは無駄に感じる。同じお金で、貧困や気候変動のような分野でより大きな効果を出す非営利団体も多い
自分をそのプラットフォームに閉じ込め、抜け出す手段を提供しないものを開発させるために、なぜお金を払いたいと思うのか
実質的にはパートナーとだけ使っているが、毎日使っているし、価値あるものを支援しているという感覚が良い
Signalとその使命、そしてそれを守ろうとする珍しい姿勢は好きなので、記事をほとんど読まずに流しそうになったが、費用とインフラの詳細は興味深かった
一時ストレージが年130万ドル、登録認証コードが600万ドル、通話料金詐欺、Google・Facebookのデータセンター支出、Google・Microsoftなどのデータ流出、類似アプリの3,000〜4,000人に対して正社員50人、といった内容はどれも興味深い
これをデータ流出と呼ぶのは少し無理があるかもしれない
以前、何か暗号通貨関連の機能をやっていなかったか？どうなっているのか気になる
MobileCoinと呼ばれていた気がするし、実際にある: https://support.signal.org/hc/en-us/articles/360057625692-In...
これは収益を上げているのだろうか？
もっと強く宣伝していれば収益は増えたかもしれないが、暗号通貨のたわごとに我慢ならないユーザーを失っていただろう
Signalは2021年にアクティブユーザー4,000万人だった [1]
インフラ費用が1,400万ドルならユーザー1人あたり年0.35ドルで、総費用3,300万ドルで計算してもユーザー1人あたり年0.825ドルだ。全体として非常に妥当に見える
[1] https://www.businessofapps.com/data/signal-statistics/
ほとんどのソーシャルメディアの費用はこの程度に見え、この水準なら貧しい国の多くの人も払える
[1] https://news.ycombinator.com/item?id=38117385
当時も妥当だと思っていたが、Signalはさらに良く、その分さらに正当化できる
登録時に費用が年1ドル程度だと知らせ、年に1回くらいリマインドすれば、大半はかなり早く自立的に費用を払うようになると思う
ストレージが年130万ドル、サーバーが年290万ドル、登録手数料が年600万ドル、総帯域幅が年280万ドル、追加サービスが年70万ドルだとすると、Signalは登録時の認証SMS送信に、トラフィックを除く残りのインフラ全体よりも多く使っている計算になる。過剰に見える
https://www.cnn.com/2023/02/18/business/twitter-blue-two-fac...
Signalのようなアプリの認証トラフィックは増え、自社顧客のSMS売上は減るため、どうせテクノロジー企業が支払わざるを得ないと見て、各地域でSMS料金を大幅に引き上げた。また、一部のネットワーク事業者が詐欺業者と収益を分け合い、自社網のSMS・通話トラフィックを水増しする通話料詐欺によって、費用が予測不能に増えることもある
米国は消費者向けSMS料金がたいてい無制限かそれに近く、合理的な例外に近いが、それ以外の世界では、この通信方式の途方もない利幅のせいでほぼ時代遅れになっている。自然に消えてもいい技術なのに、米国の親戚はいまだに頑固にiMessageを使っている
ユーザー単位ではほぼ普遍的だが、メールアドレスと違って大量確保にはかなりの費用がかかる。欠点は、電話番号認証がサービスごとに行われることだ。Signalがユーザーを認証するときにこの費用を払い、他のサービスも自社ユーザーを認証するときに同じ費用をまた払う。ユーザーを一度認証したあと、複数のサービスが検証済みプロフィールを確認できるようにする情報交換所のような事業者があるが、こうした方式で登録コストを下げられるのか気になる
スケーラビリティの話はよく聞くが、昔Alexa上位500位のサイトを月5ドルの共有ホスティング上のPHPアプリで運用したこともある。手動キャッシュはかなり多用したが、それでも可能だった。推測では、スタックが最適化されていないのか、Javaだったと記憶しているが、あるいは大規模環境でSGXのような高コストな処理をしているのではないかと思う
Signalの採用規模を考えると、全体としてはかなり安く運用されているほうで印象的だ
クラウド税、特に帯域幅コストが異常だ
Signalほどの規模なら自前インフラを構築したほうが安くなる可能性が高く、まず最も高いストレージと帯域幅から始め、その後ほかの部分へ広げられる。SMSは残念だがプロダクトの中核なので、同じ性質を保ったままどう安くできるかはよく分からない。ユーザー名+パスワードでの登録はスパム面で悪夢だし、ユーザー体験も変えてしまう
SMSと電話番号が中核だという点にも同意するが、電話番号での登録が必要だとしても、電話番号から完全に切り離された形でやり取りできる手段は提供すべきだ