הודעות נעלמות יכולות לצמצם את כמות היסטוריית השיחה הנשמרת במכשירים המשתתפים. הן אינן מבטיחות שכל עותק של הודעה נעלם, וטיימר אינו אישור לטיהור נתונים המונע שחזור פורנזי.
השאלה המועילה אינה אם המחיקה היא ״אמיתית״ או ״מזויפת״. היא איזה עותק נמחק, מאיזה מקום אחסון ובאילו הנחות? הצ׳אט הגלוי ביישום, מסד הנתונים המקומי שלו, קובץ מצורף שהורד וצילום מסך של נמען הם עותקים שונים.
מה טיימר של הודעות נעלמות יכול לעשות
טיימר מורה לתוכנה המשתפת פעולה מתי להסיר תוכן לפי כללי המוצר. הכללים עשויים להשתנות: הספירה עשויה להתחיל בשליחה או בקריאה, ההגדרה עשויה לחול רק על הודעות חדשות, ומכשירים מקושרים עשויים לטפל בנפרד במסירה מאוחרת.
הנחיות Signal להודעות נעלמות מזהירות במפורש שהיכולת אינה הגנה מפני נמען המעוניין לשמור תיעוד. המגבלה הזאת חלה בלי קשר למידת ההקפדה במימוש המחיקה המקומית.
נמען יכול לצלם את המסך, להעתיק קטע או לשמור קובץ לפני תום הזמן. נוזקה בעלת גישה לטקסט גלוי יכולה לעשות זאת בלי להמתין שאדם יבצע צילום מסך.
מדוע מחיקה מהאחסון מורכבת יותר מהסרת בועת הודעה
מחיקת רשומה ממסד נתונים או מחיקת קובץ אינה בהכרח דורסת מיד כל מקום פיזי שבו נשמרו בעבר. מסדי נתונים, קבצים זמניים, גיבויים וניהול אחסון פלאש יכולים לסבך את ההסרה. עם זאת, הדבר אינו מוכיח שכל הודעה שנמחקה בכל טלפון מודרני ניתנת לשחזור בקלות.
יכולת השחזור תלויה ביישום, במערכת ההפעלה, בהצפנת האחסון, בזמינות המפתחות, במצב המכשיר וביכולות התוקף. טענות על יישום מסוים דורשות ראיות מאותו יישום ומאותה גרסה, ולא אמירה כללית על SQLite או זיכרון פלאש.
מה מוסיפה מחיקה קריפטוגרפית
מחיקה קריפטוגרפית נועדה להפוך נתונים מוצפנים לבלתי נגישים באמצעות השמדה בטוחה של המפתחות הדרושים לפענוחם. NIST דן בגישה הזאת בהנחיות העדכניות לטיהור אמצעי אחסון SP 800-88 Revision 2.
בתכנון מערכת הודעות, התועלת שלה תלויה בכמה תנאים:
- תוכן היעד הוצפן כראוי לפני שנשמר.
- המפתח שנמחק אכן נחוץ לשחזור התוכן הזה.
- שום מפתח ששרד, גיבוי או מצב גזירת מפתחות שנשמר אינם יכולים לשחזר אותו.
- מטופלים כל עותקי המפתח הרלוונטיים, ולא רק משתנה אחד בזיכרון.
- עותקי טקסט גלוי ועותקים עצמאיים של נמענים מטופלים בנפרד.
מפתחות נפרדים לכל הודעה או קובץ יכולים לתמוך במדיניות שמירה מפורטת. עצם קיומם אינו מוכיח מחיקה מאובטחת. מחיקת מפתח של קובץ מצורף תוך השארתו בתוך הודעה היסטורית נגישה עלולה להשאיר דרך לשחזור.
ארבעה עותקים שדורשים אמצעי בקרה שונים
| עותק | מה לבדוק |
|---|---|
| הודעה בתוך היישום | התנהגות הטיימר, שמירה מקומית וטיפול במכשירים מקושרים |
| תמונה או מסמך שהורדו | גלריה, הורדות, ייצוא ואחסון של יישומים אחרים |
| גיבוי או היסטוריה שהועברה | האם עדיין ניתן לשחזר תוכן שפג תוקפו או מפתחות שמישים |
| העותק של הנמען עצמו | אמון והסכמה לגבי שיתוף; מחיקה מרחוק אינה מבטיחה השבת עותקים |
הצפנת המכשיר כולו נשארת שימושית גם כאשר יישום משתמש במפתחות תוכן נפרדים. אמצעים אלה מגינים במצבים שונים; אין לפטור אף אחד מהם כלא רלוונטי.
כיצד להשתמש בהודעות נעלמות באופן מציאותי
בחרו תקופת שמירה המתאימה לשיחה וודאו שהמשתתפים מבינים אותה. בדקו אם שמירת מדיה יוצרת עותק נפרד. בחנו את התנהגות הגיבוי ומה קורה כשמכשיר מקושר שהיה לא מקוון מתחבר מחדש.
אם צריך להוציא מכשיר משימוש, פעלו לפי נוהל טיהור הנתונים של מערכת ההפעלה או הארגון. אל תתייחסו לטיימר של צ׳אט כתחליף לבקרות הנדרשות בעת הוצאה משימוש של מכשיר.
ב-Livara, עמוד האבטחה מתאר מפתחות נפרדים לקבצים ומודל האיומים מציין חשיפה אצל נמענים ובנקודות קצה. העובדות האלה כשלעצמן אינן מוכיחות מחיקה קריפטוגרפית לכל הודעה או מחיקה המונעת שחזור פורנזי בכל מכשיר. מאמר זה אינו טוען למימוש כזה.
הודעות נעלמות מועילות ביותר כבקרה על משך שמירה. התייחסו למחיקה בלתי הפיכה כטענה חזקה יותר, הדורשת ראיות נפרדות.
