Les messages éphémères peuvent réduire la quantité d’historique conservée sur les appareils participants. Ils ne garantissent pas que chaque copie d’un message a disparu, et un minuteur n’est pas un certificat d’assainissement forensique des données.
La question utile n’est pas de savoir si la suppression est « réelle » ou « fausse ». C’est : quelle copie est supprimée, de quel emplacement de stockage et selon quelles hypothèses ? La conversation visible d’une application, sa base de données locale, une pièce jointe téléchargée et la capture d’écran d’un destinataire sont des copies différentes.
Ce que peut faire un minuteur de messages éphémères
Un minuteur indique aux logiciels coopérants quand retirer le contenu selon les règles du produit. Ces règles peuvent varier : le décompte peut commencer à l’envoi ou à la lecture, un réglage peut ne concerner que les nouveaux messages, et les appareils liés peuvent traiter séparément la livraison différée.
Le guide de Signal sur les messages éphémères avertit explicitement que cette fonction ne protège pas contre un destinataire qui souhaite conserver une trace. Cette limite s’applique quelle que soit la rigueur de la mise en œuvre de la suppression locale.
Un destinataire peut photographier un écran, copier un passage ou enregistrer un fichier avant l’expiration. Un logiciel malveillant ayant accès au texte en clair peut faire de même, sans attendre qu’une personne réalise une capture.
Pourquoi supprimer du stockage est plus compliqué que retirer une bulle
Supprimer un enregistrement de base de données ou un fichier ne réécrit pas nécessairement immédiatement chaque emplacement physique qui l’a contenu. Les bases de données, fichiers temporaires, sauvegardes et mécanismes de gestion du stockage flash peuvent compliquer l’effacement. Cela ne démontre toutefois pas que tous les messages supprimés sur tous les téléphones modernes sont facilement récupérables.
La récupération dépend de l’application, du système d’exploitation, du chiffrement du stockage, de la disponibilité des clés, de l’état de l’appareil et des capacités de l’attaquant. Les affirmations sur une application donnée nécessitent des preuves concernant cette application et sa version, et non une déclaration générale sur SQLite ou la mémoire flash.
Ce qu’apporte l’effacement cryptographique
L’effacement cryptographique vise à rendre les données chiffrées inaccessibles en éliminant de manière sûre les clés nécessaires à leur déchiffrement. Le NIST traite cette approche dans son actuel guide d’assainissement des supports SP 800-88, révision 2.
Pour une architecture de messagerie, son utilité dépend de plusieurs conditions :
- Le contenu visé a été correctement chiffré avant son stockage.
- La clé supprimée est réellement nécessaire pour récupérer ce contenu.
- Aucune clé restante, sauvegarde ou état de dérivation conservé ne peut la reconstruire.
- Toutes les copies pertinentes des clés sont prises en compte, pas seulement une variable en mémoire.
- Les copies en clair et les copies indépendantes des destinataires sont traitées séparément.
Les clés par message ou par fichier peuvent permettre des politiques de conservation précises. Leur seule existence ne prouve pas un effacement sûr. Supprimer la clé d’une pièce jointe tout en la conservant dans un ancien message accessible peut laisser une voie de récupération.
Quatre copies qui nécessitent des contrôles différents
| Copie | Points à vérifier |
|---|---|
| Message dans l’application | Comportement du minuteur, conservation locale et gestion des appareils liés |
| Photo ou document téléchargé | Galerie, téléchargements, exportations et stockage d’autres applications |
| Sauvegarde ou historique transféré | Possibilité de récupérer du contenu expiré ou des clés utilisables |
| Copie personnelle du destinataire | Confiance et accord de partage ; une suppression à distance ne garantit pas le rappel des copies |
Le chiffrement intégral de l’appareil reste utile même lorsqu’une application utilise des clés de contenu distinctes. Ces contrôles protègent des situations différentes ; aucun ne devrait être écarté comme sans intérêt.
Utiliser les messages éphémères de façon réaliste
Choisissez une durée de conservation adaptée à la conversation et assurez-vous que les participants la comprennent. Vérifiez si l’enregistrement de médias crée une copie séparée. Examinez le comportement des sauvegardes et ce qui se passe lorsqu’un appareil lié hors ligne se reconnecte.
Si vous devez vous séparer d’un appareil, suivez la procédure d’assainissement du système d’exploitation ou de votre organisation. Ne considérez pas un minuteur de conversation comme un remplacement des contrôles de mise au rebut des appareils.
Pour Livara, la page de sécurité décrit les clés par fichier et le modèle de menace identifie l’exposition chez les destinataires et aux points de terminaison. Ces faits ne démontrent pas à eux seuls un effacement cryptographique par message ni une suppression forensique sur chaque appareil. Cet article ne formule aucune telle affirmation sur l’implémentation.
Les messages éphémères sont surtout utiles comme contrôle de conservation. Considérez la suppression irréversible comme une affirmation plus forte, nécessitant des preuves distinctes.
