As mensagens temporárias podem reduzir a quantidade de histórico de conversas conservada nos dispositivos participantes. Não garantem que todas as cópias de uma mensagem tenham desaparecido, e um temporizador não é um certificado de sanitização para fins forenses.
A pergunta útil não é se a eliminação é “real” ou “falsa”. É qual cópia é apagada, de que local de armazenamento e sob quais pressupostos? O chat visível da aplicação, a sua base de dados local, um anexo descarregado e uma captura de ecrã do destinatário são cópias diferentes.
O que um temporizador de mensagens pode fazer
Um temporizador indica ao software cooperante quando remover conteúdo segundo as regras do produto. Essas regras podem variar: a contagem pode começar no envio ou na leitura, uma definição pode aplicar-se apenas a novas mensagens e os dispositivos associados podem tratar separadamente entregas atrasadas.
As orientações do Signal sobre mensagens temporárias alertam explicitamente que a funcionalidade não protege contra um destinatário que queira conservar um registo. Essa limitação aplica-se independentemente do cuidado com que a eliminação local seja implementada.
Um destinatário pode fotografar um ecrã, copiar um trecho ou guardar um ficheiro antes de expirar. Malware com acesso ao texto simples pode fazer o mesmo sem esperar que uma pessoa faça uma captura de ecrã.
Por que apagar do armazenamento é mais complexo do que remover um balão
Apagar um registo de uma base de dados ou um ficheiro não implica sobrescrever imediatamente todas as posições físicas que o armazenaram. Bases de dados, ficheiros temporários, backups e a gestão do armazenamento flash podem complicar a remoção. Contudo, isso não demonstra que todas as mensagens apagadas em todos os telemóveis modernos sejam facilmente recuperáveis.
A possibilidade de recuperação depende da aplicação, do sistema operativo, da encriptação do armazenamento, da disponibilidade das chaves, do estado do dispositivo e das capacidades do atacante. Afirmações sobre uma aplicação específica exigem provas dessa aplicação e versão, não uma declaração genérica sobre SQLite ou memória flash.
O que a eliminação criptográfica acrescenta
A eliminação criptográfica procura tornar os dados encriptados inacessíveis através da sanitização das chaves necessárias para os desencriptar. O NIST aborda esta técnica nas suas atuais orientações de sanitização de suportes SP 800-88 Revision 2.
Num projeto de mensagens, a sua utilidade depende de várias condições:
- O conteúdo visado foi devidamente encriptado antes de ser armazenado.
- A chave apagada é realmente necessária para recuperar esse conteúdo.
- Nenhuma chave sobrevivente, backup ou estado de derivação conservado pode reconstruí-la.
- Todas as cópias relevantes da chave são abrangidas, não apenas uma variável na memória.
- As cópias em texto simples e as cópias independentes dos destinatários são tratadas separadamente.
Chaves por mensagem ou por ficheiro podem permitir políticas de retenção granulares. A sua existência, por si só, não prova uma eliminação segura. Apagar a chave de um anexo, mantendo-a numa mensagem histórica acessível, pode deixar uma via de recuperação.
Quatro cópias que precisam de controlos diferentes
| Cópia | O que verificar |
|---|---|
| Mensagem dentro da aplicação | Comportamento do temporizador, retenção local e gestão de dispositivos associados |
| Fotografia ou documento descarregado | Galeria, transferências, exportações e armazenamento de outras aplicações |
| Backup ou histórico transferido | Se o conteúdo expirado ou as chaves utilizáveis continuam recuperáveis |
| Cópia do próprio destinatário | Confiança e acordo de partilha; a eliminação remota não pode garantir a retirada de cópias |
A encriptação de todo o dispositivo continua útil mesmo quando uma aplicação utiliza chaves de conteúdo separadas. Estes controlos protegem situações diferentes; nenhum deve ser descartado como irrelevante.
Como utilizar mensagens temporárias de forma realista
Escolha um período de retenção adequado à conversa e certifique-se de que os participantes o compreendem. Verifique se guardar conteúdos multimédia cria uma cópia separada. Analise o comportamento dos backups e o que acontece quando um dispositivo associado que estava offline volta a ligar-se.
Se precisar de retirar um dispositivo de serviço, siga o procedimento de sanitização do sistema operativo ou da organização. Não trate um temporizador de chat como substituto dos controlos de descarte de dispositivos.
No caso da Livara, a página de segurança descreve chaves por ficheiro e o modelo de ameaças identifica a exposição a destinatários e dispositivos terminais. Estes factos não demonstram, por si só, eliminação criptográfica por mensagem ou eliminação resistente à análise forense em todos os dispositivos. Este artigo não faz tal afirmação sobre a implementação.
As mensagens temporárias são mais úteis como controlo de retenção. Trate a eliminação irreversível como uma afirmação mais forte que exige provas separadas.
