2011年3月に購入したLG Optimus V（VM670）、Android 2.2.1、ストック、ルート化で取得した結果。
今日の時点で、完全な再同期中に取得されたpcapで見つけることができる暗号化されていないリクエストは次のとおりです。
Picasaウェブアルバム
GET /data/feed/api/user/<username>?imgmax=1024&max-results=1000&thumbsize=144u,1024u
&visibility=visible&kind=album HTTP/1.1
GData-Version: 2
Accept-Encoding: gzip
Authorization: GoogleLogin auth=<snipped>
If-None-Match: <snipped; don't know if it's sensitive info>
Host: picasaweb.google.com
Connection: Keep-Alive
User-Agent: Cooliris-GData/1.0; gzip
それでおしまい。
Picasaは、暗号化されていない状態で同期される唯一のサービスでした。Facebookはいくつかのプロフィール画像をリクエストしました（ただし、アカウント情報は渡されませんでした）。Skypeは広告をリクエストしました。とTooYoouは新しいバナー画像を取得しました。これらはどれも同期に関係していません。
そのため、Googleの同期セキュリティはかなり厳しくなりました。Picasaウェブアルバムの同期をオフにすると、すべてのGoogleデータが暗号化された形式で同期されます。
市場
これは少し気になりました：
GET /market/download/Download?userId=<snipped>&deviceId=<snipped>
&downloadId=-4466427529916183822&assetId=2535581388071814327 HTTP/1.1
Cookie: MarketDA=<snipped>
Host: android.clients.google.com
Connection: Keep-Alive
User-Agent: AndroidDownloadManager
これの戻り値は、非常に複雑なダウンロードURLを指す302 Moved Temporarilyです。
HTTP/1.1 302 Moved Temporarily
Cache-control: no-cache
Location: http://o-o.preferred.iad09g05.v5.lscache6.c.android.clients.google.com
/market/GetBinary/com.wemobs.android.diskspace/1?expire=1322383029&ipbits=0
&ip=0.0.0.0&sparams=expire,ipbits,ip,q:,oc:<snipped>
&signature=<snipped>.<snipped>&key=am2
Pragma: no-cache
Content-Type: text/html; charset=UTF-8
Date: Fri, 25 Nov 2011 08:37:09 GMT
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
X-XSS-Protection: 1; mode=block
Server: GSE
Transfer-Encoding: chunked
Androidのダウンロードマネージャーはすぐに向きを変え、そのダウンロード場所をリクエストし、MarketDA再度Cookie を渡します。
マーケットがAPKをダウンロードする方法にセキュリティ上の危険があるかどうかはわかりません。私が想像できる最悪のことは、暗号化されていないAPKダウンロードは、悪意のあるパッケージによるインターセプトと置換の可能性を開きますが、Androidにはそれを防ぐための署名チェックがあると確信しています。