Znikające wiadomości mogą ograniczać ilość historii rozmowy przechowywanej na uczestniczących urządzeniach. Nie gwarantują, że każda kopia wiadomości zniknęła, a zegar nie jest certyfikatem oczyszczenia danych odpornym na analizę kryminalistyczną.
Przydatne pytanie nie brzmi, czy usunięcie jest „prawdziwe”, czy „pozorne”. Brzmi ono: która kopia jest usuwana, z jakiego miejsca przechowywania i przy jakich założeniach? Widoczny czat aplikacji, jej lokalna baza danych, pobrany załącznik i zrzut ekranu odbiorcy to różne kopie.
Co może zrobić zegar znikających wiadomości
Zegar informuje współpracujące oprogramowanie, kiedy usunąć treść zgodnie z regułami produktu. Reguły te mogą się różnić: odliczanie może zaczynać się przy wysłaniu lub odczytaniu, ustawienie może dotyczyć tylko nowych wiadomości, a połączone urządzenia mogą osobno obsługiwać opóźnione dostarczanie.
Wskazówki Signal dotyczące znikających wiadomości wyraźnie ostrzegają, że funkcja nie chroni przed odbiorcą, który chce zachować zapis. To ograniczenie obowiązuje niezależnie od staranności wdrożenia lokalnego usuwania.
Odbiorca może sfotografować ekran, skopiować fragment lub zapisać plik przed upływem terminu. Złośliwe oprogramowanie z dostępem do tekstu jawnego może zrobić to samo, nie czekając, aż człowiek wykona zrzut ekranu.
Dlaczego usuwanie z pamięci jest bardziej złożone niż usunięcie dymka
Usunięcie rekordu bazy danych lub pliku nie musi natychmiast nadpisać każdego fizycznego miejsca, które go kiedyś przechowywało. Bazy danych, pliki tymczasowe, kopie zapasowe i zarządzanie pamięcią flash mogą komplikować usuwanie. To jednak nie dowodzi, że każdą usuniętą wiadomość na każdym nowoczesnym telefonie można łatwo odzyskać.
Możliwość odzyskania zależy od aplikacji, systemu operacyjnego, szyfrowania pamięci, dostępności kluczy, stanu urządzenia i możliwości atakującego. Twierdzenia o konkretnej aplikacji wymagają dowodów dotyczących tej aplikacji i wersji, a nie ogólnego stwierdzenia o SQLite czy pamięci flash.
Co wnosi usuwanie kryptograficzne
Usuwanie kryptograficzne ma uczynić zaszyfrowane dane niedostępnymi poprzez bezpieczne usunięcie kluczy potrzebnych do ich odszyfrowania. NIST omawia to podejście w aktualnych wytycznych oczyszczania nośników SP 800-88 Revision 2.
W projekcie komunikatora jego przydatność zależy od kilku warunków:
- Docelowa treść została odpowiednio zaszyfrowana przed zapisaniem.
- Usunięty klucz jest rzeczywiście niezbędny do odzyskania tej treści.
- Żaden zachowany klucz, kopia zapasowa ani zachowany stan wyprowadzania kluczy nie pozwalają go odtworzyć.
- Uwzględniono wszystkie istotne kopie klucza, a nie tylko jedną zmienną w pamięci.
- Kopie tekstu jawnego i niezależne kopie odbiorców są obsługiwane osobno.
Klucze osobne dla każdej wiadomości lub pliku mogą wspierać szczegółowe zasady przechowywania. Samo ich istnienie nie dowodzi bezpiecznego usuwania. Usunięcie klucza załącznika przy zachowaniu go w dostępnej wiadomości historycznej może pozostawić drogę odzyskania.
Cztery kopie wymagające różnych zabezpieczeń
| Kopia | Co sprawdzić |
|---|---|
| Wiadomość w aplikacji | Działanie zegara, lokalne przechowywanie i obsługę połączonych urządzeń |
| Pobrane zdjęcie lub dokument | Galerię, pobrane pliki, eksporty i pamięć innych aplikacji |
| Kopia zapasowa lub przeniesiona historia | Czy wygasła treść lub użyteczne klucze nadal dają się odzyskać |
| Własna kopia odbiorcy | Zaufanie i uzgodnienia dotyczące udostępniania; zdalne usunięcie nie gwarantuje wycofania kopii |
Szyfrowanie całego urządzenia pozostaje użyteczne, nawet gdy aplikacja stosuje oddzielne klucze treści. Te zabezpieczenia chronią w różnych sytuacjach; żadnego nie należy odrzucać jako nieistotnego.
Jak realistycznie korzystać ze znikających wiadomości
Wybierz okres przechowywania odpowiedni do rozmowy i upewnij się, że uczestnicy go rozumieją. Sprawdź, czy zapisanie multimediów tworzy osobną kopię. Przyjrzyj się działaniu kopii zapasowych i temu, co dzieje się, gdy połączone urządzenie będące offline znów się łączy.
Jeśli musisz wycofać urządzenie z użytku, stosuj procedurę oczyszczania danych systemu operacyjnego lub organizacji. Nie traktuj zegara czatu jako zamiennika zabezpieczeń przy wycofywaniu urządzeń.
W przypadku Livara strona bezpieczeństwa opisuje klucze dla poszczególnych plików, a model zagrożeń wskazuje narażenie związane z odbiorcami i urządzeniami końcowymi. Same te fakty nie wykazują kryptograficznego usuwania każdej wiadomości ani usuwania odpornego na analizę kryminalistyczną na wszystkich urządzeniach. Artykuł nie wysuwa takiego twierdzenia o implementacji.
Znikające wiadomości są najbardziej użyteczne jako mechanizm ograniczający przechowywanie. Nieodwracalne usunięcie traktuj jako silniejsze twierdzenie wymagające osobnych dowodów.
