17.2 Notificaciones/push con y sin Play en sandbox

Introducción

En el contexto de GrapheneOS, el manejo de notificaciones push adquiere un matiz particular, dado el énfasis en la seguridad y el aislamiento. Este apartado ofrece un análisis detallado de dos métodos principales:

• Implementación de notificaciones push apoyadas en Google Play Services dentro de un sandbox.
• Alternativas de push completamente libres de Play Services, aprovechando APIs nativas y arquitecturas basadas en sandbox.

Notificaciones push con Google Play Services en sandbox

Requisitos previos

• Dispositivo con GrapheneOS a versión estable o superior.
• Habilitar perfil de trabajo (sandbox) y Google Play Store/Services en dicho perfil.
• APK de la aplicación configurada para Firebase Cloud Messaging (FCM).

Pasos de configuración

1. Crear un perfil de trabajo desde Ajustes → Usuarios y perfiles → Añadir perfil de trabajo.

2. Instalar Google Play Store amp Google Play Services en el perfil de trabajo mediante el instalador integrado de GrapheneOS.

3. En el proyecto Android, añadir la dependencia de com.google.firebase:firebase-messaging y configurar el google-services.json.

4. En la aplicación, implementar un FirebaseMessagingService que capture eventos onMessageReceived() y genere notificaciones mediante la Notification API de Android.

5. Verificar el envío y recepción de mensajes desde la consola de Firebase o un servidor privado que emita FCM.

Notificaciones push sin Play Services en sandbox

Para entornos donde se desea evitar la inclusión de Google Play Services, GrapheneOS ofrece mecanismos de aislamiento (sandbox) que permiten alternativas de push:

Opciones disponibles

• Web Push: Basado en estándares W3C (Service Workers, Push API y Notification API) a través de navegadores compatibles (por ejemplo, Firefox en modo sandbox).

• Servidor propio con protocolo MQTT/WebSocket: El cliente mantiene una conexión TLS persistente y recibe mensajes en tiempo real.

• Uso de librerías de terceros que implementan VAPID y Web Push (por ejemplo, pushy o onesignal sin dependencias de Play).

Configuración paso a paso (Web Push de ejemplo)

1. Registrar el Service Worker en la aplicación web o PWA que resides en el sandbox:

   navigator.serviceWorker.register(/sw.js)

2. Solicitar permiso de notificación al usuario:

   Notification.requestPermission()

3. Encriptar y enviar la suscripción push al backend mediante VAPID.

4. Configurar el servidor para enviar mensajes mediante la librería web-push (Node.js) o equivalente.

5. En el sw.js, implementar self.addEventListener(push, ...) y despertar notificaciones con self.registration.showNotification().

Comparativa y recomendaciones

Buenas prácticas y consideraciones de seguridad

• Evitar exponer claves privadas VAPID o tokens FCM en repositorios públicos.
• Utilizar cifrado end-to-end en payloads sensibles.
• Limitar el número de permisos solicitados al perfil de trabajo y a la aplicación sandbox.
• Monitorear el consumo de batería y ancho de banda, especialmente en conexiones persistentes MQTT/WebSocket.
• Revisar periódicamente actualizaciones de GrapheneOS para asegurar compatibilidad y correcciones de seguridad.

Conclusión

GrapheneOS, al combinar un enfoque estricto de aislamiento con opciones flexibles de sandbox, permite implementar notificaciones push bajo dos paradigmas claramente diferenciados. La elección entre Google Play Services y soluciones libres de Play depende de las prioridades de cada proyecto: rendimiento y simplicidad frente a privacidad y autonomía total.

• Documentación Oficial de GrapheneOS: sección sobre notificaciones y servicios push en sandbox, tanto con Play Services como sin ellos.
  
  https://grapheneos.org/docs/apps-push-notifications
• Repositorio de ejemplos GrapheneOS Samples: código de referencia para implementar notificaciones push en modo sandbox, con y sin Google Play.
  
  https://github.com/GrapheneOS/samples
• Artículo “Push Notifications in Android without Play Services” de Matthias Dörl: guía práctica sobre alternativas a FCM en entornos libres.
  
  https://medium.com/…/push-notifications-without-play-services
• Android Security Internals de Nikolay Elenkov: ofrece contexto profundo sobre el modelo de seguridad y manejo de notificaciones en Android, base para entender GrapheneOS.
  
  O’Reilly Media, 2014
• Blog de SilentPush: explora soluciones de push silencioso y persistente en dispositivos sin Google Play.
  
  https://silentpush.org/blog
• Foro y Matrix de GrapheneOS: discusiones y aportes de la comunidad sobre notificaciones y sandboxing.
  
  #grapheneos:grapheneos.org
• Guía “Alternative Push Services” en GitHub: lista de proyectos OSS que ofrecen notificaciones push sin depender de Play Services.
  
  https://github.com/alternative-push-services/README.md