Threemaは、企業のセキュリティを考慮して実際に作られた数少ないメッセンジャーの一つです：エンドツーエンドの暗号化、最小限のメタデータ、スイスのサーバー。しかし、彼にも脆弱な部分があります。それはネットワークレベルです。プロバイダーがトラフィックをブロックしたり、企業のIT部門が接続を制限したり、メッセンジャーの使用事実を隠す必要がある場合、プロキシなしでは対処できません。
この記事では、Threema Workと通常版にプロキシを接続する方法、企業のニーズに適したプロキシの種類、設定時にセキュリティを失わない方法について解説します。
Threemaにプロキシが必要な理由：実際の企業シナリオ
多くの人は、Threemaがすべてをエンドツーエンドで暗号化しているので、プロキシは不要だと思っています。しかし、実際にはそうではありません。暗号化はメッセージの内容を保護しますが、Threemaのサーバーへの接続事実を隠すことはできません。ネットワークレベルで、企業の問題の多くが発生します。
プロキシが必要となる具体的な状況を考えてみましょう：
シナリオ 1: 地域的なブロック
一部の国や企業ネットワークでは、Threemaのサーバーへのトラフィックがファイアウォールでブロックされます。これは、厳しいインターネット規制のある国にオフィスを持つ企業にとって特に重要です。従業員がThreema Workを開くと、接続エラーが表示されます。この場合、プロキシは中間ノードとして機能します：トラフィックはThreemaのサーバーに直接ではなく、許可された管轄のIPアドレスを介して流れます。
シナリオ 2: 企業のIT管理
大企業は、従業員のすべてのトラフィックを企業のプロキシサーバーを介してルーティングすることがよくあります。これは、監視、フィルタリング、ログ記録のためです。Threema Workがこのプロキシを介して動作するように設定されていない場合、オフィスネットワークでは接続できません。IT管理者はアプリケーションの設定にプロキシを明示的に記述する必要があります。そうしないと、メッセンジャーは作業デバイスで利用できなくなります。
シナリオ 3: 競争情報と交渉の匿名性
経営陣や法務部門にとって、交渉の内容だけでなく、メタデータも重要です：どのIPからコミュニケーションが行われているか、参加者がどの地域にいるか。プロキシは、企業のオフィスまたは特定の従業員の実際のIPアドレスを隠すことを可能にします。特にM&A交渉中は、特定の相手とのコミュニケーションの事実さえも機密情報となる可能性があります。
シナリオ 4: リモート従業員の作業
様々な国からのリモート従業員は、Threemaのサーバーへの接続が不安定になることがあります。必要な地域にサーバーを持つプロキシは、遅延を減らし、安定した接続を提供するのに役立ちます。特にアジア、ラテンアメリカ、アフリカのチームにとって、スイスのThreemaサーバーへの直接接続が不安定な場合があります。
理解しておくべきこと：
プロキシはThreemaの暗号化を置き換えるものではありません。異なるレベルで機能します。両者を組み合わせることで、内容は暗号化され、トラフィックの発信元が隠される二重の保護層が得られます。
Threema Workと通常のThreema：ビジネスにおける違い
設定に進む前に、どのバージョンを使用しているかを理解することが重要です。これにより、プロキシの設定方法が異なります。
| パラメータ | Threema（個人用） | Threema Work（企業用） |
|---|---|---|
| 管理 | ユーザー | IT管理者がMDMを通じて |
| プロキシ設定 | デバイスのシステム設定を通じて | MDMプロファイルまたは設定ファイルを通じて |
| SOCKS5サポート | システム設定に依存 | 設定を通じてサポート |
| セキュリティポリシー | なし | 集中管理ポリシー |
| 対象ユーザー | 個人 | 10人以上の企業 |
ほとんどの企業シナリオでは、Threema Workが使用されます。これは、IT管理者がMDM（モバイルデバイス管理）システムを通じて、プロキシを含む設定を集中管理できるからです。たとえば、Jamf、Microsoft Intune、またはVMware Workspace ONEなどです。
通常のThreemaを使用している場合は、デバイスのシステム設定を通じてプロキシを設定します（iOSのWi-FiプロキシまたはAndroidのグローバルプロキシ）。これは柔軟性に欠けますが、小規模なチームには十分な選択肢です。
Threemaに適したプロキシの種類
すべてのプロキシが企業向けメッセンジャーに同じように適しているわけではありません。主要なタイプとThreemaへの適用性を見てみましょう。
レジデンシャルプロキシ
レジデンシャルプロキシは、実際の家庭ユーザーのIPアドレスを使用します。これは最も目立たないタイプです：そのようなIPからのトラフィックは、企業サーバーではなく通常のインターネットユーザーのように見えます。Threemaにとって、IPアドレスのタイプによるブロックを回避する必要がある場合、これは重要です。多くのファイアウォールはデータセンターのIPをブロックし、レジデンシャルアドレスは通過します。
企業メッセンジャーに対するレジデンシャルプロキシの欠点は、IPのローテーションです。プロキシが数分ごとにアドレスを変更すると、Threemaの認証に問題が生じる可能性があります。したがって、このタスクにはスティッキーセッションを持つレジデンシャルプロキシを選択する必要があります。これは、長時間（10分から24時間）固定されたIPです。
モバイルプロキシ
モバイルプロキシは、モバイルキャリアのIPアドレス（3G/4G/5G）を介して動作します。これは、フィルタリングシステムの観点から最も信頼されているトラフィックタイプです。モバイルIPはブロックリストに載ることが少ないです。Threemaにとって、従業員がスマートフォンでアプリを使用する場合、モバイルプロキシは特に優れています：トラフィックはモバイルパターンに自然に組み込まれます。
モバイルプロキシはレジデンシャルプロキシよりも高価ですが、企業のセキュリティにとっては正当な費用です。特に経営陣や法務部門にとって、交渉の匿名性が重要です。
データセンタープロキシ
データセンタープロキシは、最も高速で手頃なオプションです。これは、IT管理者がThreemaのトラフィックをルーティングするためにプロキシサーバーを自分で設定する場合、企業内のファイアウォールを回避するのに適しています。しかし、企業のトラフィックを外部の観察者から隠す必要がある場合、データセンターのIPは「家庭用ではない」として識別されやすくなります。
| プロキシの種類 | 速度 | 匿名性 | Threemaに最適なシナリオ |
|---|---|---|---|
| レジデンシャル | 中程度 | 高い | 地域的なブロックの回避 |
| モバイル | 中程度 | 最大 | 経営陣の匿名性 |
| データセンター | 高い | 中程度 | 企業プロキシサーバー |
AndroidでのThreemaのプロキシ設定
Androidでは、Threemaにプロキシを接続する方法が2つあります：Wi-Fiのシステム設定を通じて、またはプロキシアプリ（例：ProxyDroidやShadowsocks）を通じて。最初の方法は簡単で、2番目の方法は柔軟性があります。
方法 1: Wi-Fi設定を通じて（HTTPプロキシ）
この方法は、プロキシがHTTP/HTTPSプロトコルをサポートしている場合に機能します。手順は次のとおりです：
- 設定 → Wi-Fiを開きます。
- 接続されているネットワークを長押しし、「ネットワークを変更」を選択します。
- 「詳細設定」を展開します。
- 「プロキシ」のフィールドで「手動」を選択します。
- プロキシホスト（プロキシサーバーのIPアドレス）とポートを入力します。
- プロキシが認証を必要とする場合は、対応するフィールドにユーザー名とパスワードを入力します（Android 10以降で利用可能）。
- 「保存」をクリックし、Threemaを再起動します。
接続を確認します：Threemaで設定 → Threemaについてに移動し、診断を送信するためにバージョンをクリックします。接続が確立されている場合、アプリは緑のステータスを表示します。
方法 2: SOCKS5を通じて（上級者向け）
Androidは、システムレベルで直接SOCKS5をサポートしていません。ThreemaでSOCKS5を使用するには、ProxyDroid（rootが必要）を使用するか、SSHを介してトンネルを設定します。企業ユーザーは、プロキシと組み合わせた企業VPNを使用する方が簡単です。これは、より管理しやすいソリューションです。
企業展開のためのアドバイス：
従業員のデバイスをMDM（例：Microsoft Intune）を通じて管理している場合、プロキシの設定を構成プロファイルを通じてすべての企業Androidデバイスに集中して適用できます。これにより、各デバイスを手動で設定する必要がなくなります。
iPhone（iOS）でのThreemaのプロキシ設定
iOSでは、Threemaはシステムのプロキシ設定を使用します。アプリ内に別の設定はありません。プロキシはWi-FiネットワークレベルまたはMDMプロファイルを介して設定する必要があります。
Wi-Fiを通じて設定
- 設定 → Wi-Fiを開きます。
- 接続されているネットワークの隣にある(i)アイコンをクリックします。
- 「HTTPプロキシ」セクションまでスクロールします。
- 「手動」を選択します。
- サーバー（プロキシのIPアドレス）とポートを入力します。
- 認証が必要な場合は、「認証」スイッチをオンにし、ユーザー名とパスワードを入力します。
- 「完了」をクリックします。iOSは自動的に設定をすべてのアプリに適用します。Threemaも含まれます。
PACファイルを通じて設定
企業での使用には、PACファイル（プロキシ自動構成）を使用する方が便利です。これにより、どのトラフィックがプロキシを通過し、どのトラフィックが直接行くかのルールを設定できます。たとえば、Threemaのトラフィックのみをプロキシを通じてルーティングし、他のトラフィックはそのままにすることができます。
- 「HTTPプロキシ」セクションで「自動」を選択します。
- IT部門から提供されたPACファイルのURLを入力します。
- iOSは設定を自動的にダウンロードして適用します。
MDM（Jamf、Intune）を通じて設定
企業の方法は、MDMを通じて構成プロファイルを展開することです。Jamf Proでは、構成プロファイル → ネットワーク → プロキシを通じて行います。このプロファイルは、従業員のすべての企業iPhoneに自動的に適用されます。これは、20台以上のデバイスを持つ企業にとって最も適切なアプローチです。
コンピュータ（Windows/Mac）でのThreemaのプロキシ設定
Threema Desktop（コンピュータ版）も、オペレーティングシステムのシステムプロキシ設定を使用します。アプリ内に別のプロキシ設定はありません。これは、管理を簡素化するための開発者の意図的なアーキテクチャの決定です。
Windows 10/11
- 設定 → ネットワークとインターネット → プロキシを開きます。
- 「手動でプロキシを設定」セクションで、「プロキシサーバーを使用する」スイッチをオンにします。
- アドレス（プロキシのIP）とポートを入力します。
- ローカルアドレスを除外する必要がある場合は、「ローカルアドレスにプロキシサーバーを使用しない」にチェックを入れます。
- 「保存」をクリックし、Threema Desktopを再起動します。
macOS
- システム環境設定 → ネットワークを開きます。
- アクティブなネットワーク接続（Wi-FiまたはEthernet）を選択し、「詳細」をクリックします。
- 「プロキシ」タブに移動します。
- 必要なプロキシタイプを有効にします：「ウェブプロキシ（HTTP）」または「安全なウェブプロキシ（HTTPS）」。
- プロキシサーバーのアドレスとポートを入力します。必要に応じて、ユーザー名とパスワードも入力します。
- 「OK」をクリックし、「適用」をクリックします。Threema Desktopを再起動します。
プロキシの動作確認：
設定後、ブラウザを開き、whatismyip.comにアクセスします。プロキシのIPが表示され、オフィスの実際のIPが表示されない場合、設定は正しく行われています。その後、Threema Desktopを起動し、接続ステータスを確認します。
企業のセキュリティ：展開時に考慮すべきこと
企業環境でThreemaとプロキシを使用することは、技術的な課題だけでなく、組織的な課題でもあります。展開を開始する前に検討すべき重要な側面は以下の通りです。
1. プロキシサーバーの管轄の選択
Threemaのサーバーはスイスにあります。遅延を最小限に抑えるために、西ヨーロッパにサーバーを持つプロキシを選択してください。従業員がアジアから作業している場合は、シンガポールや香港に拠点を持つプロキシを探してください。重要なのは、プロキシプロバイダーの管轄がトラフィックのログを保存し、提供することを義務付けていないことを確認することです。これは企業の機密性にとって重要です。
2. プロキシプロバイダーのログポリシー
プロキシプロバイダーにログポリシー（ノーログポリシー）を確認してください。Threemaを介した企業のコミュニケーションにおいて、プロバイダーがメタデータを保存しないことが重要です：誰が、いつ、どのIPで接続したか。メッセージの内容はThreemaレベルで暗号化されていますが、接続のメタデータは機密情報となる可能性があります。
3. プロトコル：HTTP vs SOCKS5
Threemaには、技術的に可能であればSOCKS5を使用することをお勧めします。SOCKS5はより低いレベルで動作し、リクエストのヘッダーを変更しません。これはプッシュ通知やメッセージの同期が正しく機能するために重要です。HTTPプロキシも機能しますが、バイナリデータ（ファイル、音声メッセージ）の転送時に遅延を引き起こす可能性があります。
4. プロキシの認証：IPホワイトリスト vs ユーザー名/パスワード
企業での使用には、IPホワイトリストによる認証が好まれます。これは、従業員のデバイスにパスワードを保存する必要がなく、管理が簡単です。従業員が動的IP（たとえば、自宅から）で作業している場合は、ユーザー名とパスワードによる認証を使用し、四半期ごとに資格情報をローテーションします。
5. 監視とバックアッププロキシ
重要な企業コミュニケーションのために、プロキシサーバーの可用性を監視する設定を行います。異なるデータセンターに少なくとも2つのプロキシを使用します—主プロキシとバックアッププロキシです。主プロキシが利用できない場合、従業員はThreema Workへのアクセスを失うことなくバックアップに切り替える方法を知っている必要があります。
Threemaでのプロキシ使用時の一般的な間違い
実際には、プロキシを介したThreemaの動作に関する問題のほとんどは、いくつかの典型的な間違いから生じます。同じ過ちを繰り返さないために、それらを詳しく見ていきましょう。
間違い 1: 無料プロキシの使用
無料プロキシは企業のセキュリティに対する直接的な脅威です。これらはしばしば通過するトラフィックをすべてログに記録し、悪意のあるコードを埋め込む可能性があり、Threemaサーバーのレベルでブロックされていることもよくあります。セキュリティのために使用している企業メッセンジャーにとって、無料プロキシはThreemaの利点を完全に無効にします。
間違い 2: スティッキーセッションなしのIPローテーションプロキシ
プロキシが1〜5分ごとにIPを変更する場合、Threemaは常に接続を失い、再認証を要求します。メッセンジャーにはスティッキーセッションが必要です—少なくとも30分間固定されたIPです。プロキシプロバイダーを選択する際は、スティッキーセッションの最大時間を必ず確認してください。
間違い 3: 一部のデバイスのみのプロキシ設定
よくある状況：プロキシが企業のノートパソコンに設定されているが、従業員のスマートフォンには設定されていない。その結果、同じThreema Workアカウントがプロキシを介して接続されたり、直接接続されたりして、異なるIPから接続されることになります。これにより、セキュリティシステムの疑念を引き起こし、アカウントがブロックされる可能性があります。特定の従業員のすべてのデバイスでプロキシを一貫して設定してください。
間違い 4: DNSリークの無視
プロキシが設定されていても、DNSリクエストがプロキシをバイパスして、プロバイダーのDNSサーバーに直接行くことがあります。これをDNSリークと呼びます。その結果、プロキシがあってもオフィスの実際の位置が明らかになる可能性があります。プロキシ設定後にdnsleaktest.comでDNSリークを確認してください。解決するためには、DNS-over-HTTPS（DoH）を使用するか、DNSプロキシをサポートするプロキシを設定してください（SOCKS5でリモートDNS）。
間違い 5: WebSocketをサポートしないプロキシ
Threemaは、サーバーとの持続的な接続を維持するためにWebSocketを使用します（プッシュ通知、メッセージの迅速な配信）。一部のHTTPプロキシはWebSocketをサポートしていないか、長時間接続をブロックします。プロバイダーを選択する前にWebSocketのサポートを確認してください。そうしないと、通知が遅れて届くか、まったく届かないことがあります。
間違い 6: 展開前のテストを行わない
すべての企業デバイスにプロキシを展開する前に、2〜3台のデバイスで1週間テストを行います。接続の安定性、メッセージの配信速度、音声通話の動作、ファイル転送を確認してください。成功したテストの後にのみ、大規模な展開に進んでください。
結論と推奨事項
Threemaは企業コミュニケーションのための強力なツールですが、ネットワークレベルでプロキシを追加することでそのセキュリティを大幅に強化できます。プロキシは、暗号化だけでは対処できない問題を解決します：地域的なブロックの回避、企業IPの隠蔽、企業ファイアウォールを介したトラフィックのルーティング、リモート従業員のための安定した接続の確保。
記事からの重要な結論は次のとおりです：
- 地域的なブロックを回避するには、スティッキーセッションを持つレジデンシャルプロキシを使用してください。
- 経営陣の最大の匿名性を確保するには、モバイルプロキシを使用してください。
- 企業展開では、手動ではなくMDM（Jamf、Intune）を通じてプロキシを設定してください。
- 設定後は常にDNSリークを確認してください。
- プロバイダーにスティッキーセッションを30分以上サポートするよう要求してください。
- 企業のコミュニケーションには無料プロキシを絶対に使用しないでください。
Threemaを介した企業コミュニケーションの保護に信頼できるソリューションをお探しの場合は、レジデンシャルプロキシの検討をお勧めします。これにより、高い匿名性、ブロックのリスクの最小化、メッセンジャーの安定した動作に必要なスティッキーセッションが提供されます。交渉の最大の匿名性が重要な場合は、モバイルプロキシが最適な選択肢です。これらのトラフィックは、あらゆるフィルタリングシステムに対して最も自然に見えます。
```