безопасность облачных сообщений гугл

Та же проблема могла возникнуть и с C2DM, где вы можете прослушивать адрес электронной почты отправителя вместо идентификатора проекта для GCM.

C2DM или GCM никогда не следует использовать для отправки конфиденциальной информации о пользователе (например, имя учетной записи, личная информация и т. д.), это в основном полезно для уведомления, которое реальное приложение может использовать для выполнения дальнейших действий.

Я не понимаю, насколько полезным может быть уведомление для приложения «подделка/взлом», что они собираются делать с уведомлением «У вас есть новое сообщение»?

Я думаю, что из вашего сценария злоумышленник не может отправить сообщение пользователю, даже если у него есть регистрационный идентификатор. Сервер компании, который отправляет сообщения, необходимые для аутентификации (OAuth2), сначала регистрируется через Google. Таким образом, только если злоумышленник знает пароль отправляющей стороны и регистрационный идентификатор, он может отправить пользователя. Но пароль отправляющей стороны, конечно же, никогда не отправляется на сторону клиента.

ну, это может работать даже в отладочной версии приложения злоумышленника, но он не может разместить свое приложение в магазине. частью идентификации GCM является идентификатор приложения, который должен быть уникальным в магазине.

Идентификатор регистрации GCM запрашивается Google, запрашивается из приложения и отправляется на ваш сервер. Когда кто-то с другим приложением (но с тем же идентификатором отправителя) создает Regid, его все равно нужно зафиксировать на сервере, и сначала вы должны явно отправить сообщение этому конкретному regid.

Установка приложения, законная или нет, никогда не может получать сообщения, для которых она не авторизована. (При условии, что вы объявляете и используете разрешение C2D_MESSAGE)

На самом деле, Google позволяет вам зарегистрировать ключ сервера для GCM, который позволяет вам вносить IP-адреса сервера в белый список ... Таким образом, вы должны добавить свой IP-адрес сервера, и вы будете в безопасности, поскольку только ваш сервер может отправлять сообщения с этим ключом.

В этом случае GCM безопасен.
Вы даже не можете использовать свой идентификатор отправителя в исходном приложении, пока не зарегистрируете приложение в GoogleApiConsole. Это означает, что вы указываете отпечаток закрытого ключа в GoogleApiConsole. Достаточно.

Я бы предложил иметь свой собственный «промежуточный сервер», который использует ключ API (идентификатор отправителя, как вы его назвали). Вместо того, чтобы встраивать его в само приложение.