消えるメッセージは、参加端末に保持される会話履歴を減らすことができます。メッセージのすべてのコピーが消えたと保証するものではなく、タイマーはフォレンジック上のデータ消去証明でもありません。
重要なのは削除が「本物」か「偽物」かではなく、どのコピーが、どの保存場所から、どのような前提のもとで削除されるのかです。アプリに表示されるチャット、ローカルデータベース、ダウンロードした添付ファイル、受信者のスクリーンショットは別々のコピーです。
消えるメッセージのタイマーにできること
タイマーは、協調して動作するソフトウェアに、製品の規則に従っていつ内容を除去するかを伝えます。規則はさまざまで、送信時または閲覧時から計時する場合、新しいメッセージだけに設定が適用される場合、リンク済み端末が遅延配信を別に処理する場合があります。
Signal の消えるメッセージのガイドは、記録を残そうとする受信者への対策にはならないと明示しています。この限界は、ローカル削除がどれほど慎重に実装されていても変わりません。
受信者は期限前に画面を撮影したり、文章をコピーしたり、ファイルを保存したりできます。平文にアクセスできるマルウェアも、人がスクリーンショットを撮るのを待たずに同じことができます。
保存領域からの削除が吹き出しの除去より複雑な理由
データベースのレコードやファイルを削除しても、それがかつて保存されていたすべての物理的位置が直ちに上書きされるとは限りません。データベース、一時ファイル、バックアップ、フラッシュストレージの管理が除去を複雑にすることがあります。ただし、これで現代のあらゆるスマートフォンの削除済みメッセージがすべて簡単に復元できると証明されるわけではありません。
復元可能性は、アプリ、OS、ストレージ暗号化、鍵の利用可能性、端末の状態、攻撃者の能力によって異なります。特定のアプリに関する主張には、そのアプリとバージョンの証拠が必要であり、SQLite やフラッシュメモリの一般論では足りません。
暗号学的消去が加えるもの
暗号学的消去は、復号に必要な鍵を消去して、暗号化データにアクセスできなくすることを目指します。NIST は現行の SP 800-88 改訂第2版の媒体サニタイズ指針でこの方法を扱っています。
メッセージングの設計で役立つかどうかは、いくつかの条件に左右されます。
- 対象の内容が保存前に適切に暗号化されていたこと。
- 削除された鍵が、その内容の復元に実際に必要であること。
- 残存する鍵、バックアップ、保持された導出状態から再構築できないこと。
- メモリ上の変数1つだけでなく、関連するすべての鍵のコピーに対処すること。
- 平文のコピーと受信者の独立したコピーは別途対処すること。
メッセージごと、またはファイルごとの鍵は、細かな保持ポリシーを支えられます。しかし、その存在だけでは安全な消去の証明になりません。添付ファイルの鍵を削除しても、アクセス可能な過去のメッセージ内に残っていれば、復元経路が残る可能性があります。
異なる対策が必要な4種類のコピー
| コピー | 確認事項 |
|---|---|
| アプリ内のメッセージ | タイマーの挙動、ローカル保持、リンク済み端末の処理 |
| ダウンロードした写真や文書 | ギャラリー、ダウンロード、エクスポート、他アプリの保存領域 |
| バックアップや移行した履歴 | 期限切れの内容や使用可能な鍵が復元可能なままか |
| 受信者自身のコピー | 信頼と共有の合意。遠隔削除は回収を保証できない |
アプリが個別のコンテンツ鍵を使っていても、端末全体の暗号化は有用です。これらの対策は異なる状況を守るもので、どちらも無関係として退けるべきではありません。
消えるメッセージを現実的に使うには
会話に適した保持期間を選び、参加者が理解していることを確認してください。メディアの保存が別のコピーを作るかを確認し、バックアップの挙動と、オフラインのリンク済み端末が再接続したときの動作を調べます。
端末を廃棄する必要がある場合は、OS または組織のデータ消去手順に従ってください。チャットのタイマーを端末廃棄時の対策の代わりにしてはいけません。
Livara では、セキュリティページがファイルごとの鍵を説明し、脅威モデルが受信者とエンドポイントの露出リスクを示しています。それだけでは、メッセージごとの暗号学的消去や、すべての端末にわたるフォレンジック上の削除が実証されたことにはなりません。本記事はそのような実装を主張しません。
消えるメッセージは、保持を制御する手段として最も役立ちます。不可逆的な削除は、別途証拠が必要な、より強い主張として扱ってください。
